V7.4.2 Error Handling

Requirement:

Verify that exception handling (or a functional equivalent) is used across the codebase to account for expected and unexpected error conditions. (C10)](https://owasp.org/www-project-proactive-controls/#div-numbering)))

Explanation:

Когда программа сталкивается с ошибкой, она может либо завершить работу, либо обработать ошибку, предоставив соответствующий ответ. Обработка исключений позволяет разработчикам отлавливать и обрабатывать ошибки, чтобы программа могла продолжать работу без сбоев.

Чтобы соответствовать этому требованию, в во всём коде приложения должен быть последовательный подход к обработке ошибок. Это означает, что разработчики должны использовать соответствующие методы обработки исключений, такие как блоки try-catch, для обработки ожидаемых ошибок, таких как ошибки проверки ввода или проблемы с подключением к сети. Кроме того, в коде должны быть предусмотрены механизмы для обработки неожиданных ошибок, таких как непредвиденные значения ввода или непредвиденные сетевые/аппаратные ошибки.

Remediation:

• Используйте соответствующие методы обработки исключений: После того, как вы определили потенциальные сценарии ошибок, используйте соответствующие методы обработки исключений для их устранения. Например, вы можете использовать блоки try-catch для перехвата и обработки исключений, которые могут возникнуть в вашем коде. Вы также можете использовать функции обработки ошибок или библиотеки для последовательной и стандартизированной обработки ошибок.
• Обрабатывайте ожидаемые ошибки: Реализуйте специальные процедуры обработки ошибок для ошибок, которые, как вы ожидаете, могут возникнуть в вашем приложении. Например, вы можете обрабатывать ошибки проверки ввода, выводя пользователю сообщение об ошибке и предлагая ему ввести правильные данные. Вы также можете обрабатывать ошибки подключения к сети, повторяя попытку соединения или предоставляя механизм резервного копирования.
• Обработка неожиданных ошибок: Помимо обработки ожидаемых ошибок, важно обрабатывать и неожиданные ошибки. К ним относятся ошибки, которые могут возникнуть из-за непредвиденных входных значений или системных сбоев. Вы можете обрабатывать эти ошибки, регистрируя их и предоставляя пользователю соответствующий ответ.

Additional:

OWASP Logging

CWE - CWE-200: Раскрытие конфиденциальной информации неавторизованному субъекту (4.9) (mitre.org)