aplicación Amenazas a la seguridad: Las 10 principales de OWASP
Existen innumerables amenazas de seguridad que afectan las aplicaciones de software. Sin embargo, la lista de las 10 principales vulnerabilidades del Proyecto de código abierto de seguridad en aplicaciones web (Open Web Application Security Project, OWASP) compila las amenazas más frecuentes y graves contra aplicaciones, cuyo impacto se da mayormente en las aplicaciones en producción.
Las iniciativas de AppSec destinadas a las aplicaciones modernas deben centrarse, como mínimo, en las amenazas de alto perfil que figuran a continuación:
- Inyección:la inyección de código implica una consulta o comando enviado a una aplicación de software que contiene datos maliciosos o que no son de confianza. El más común es la inyección SQL, pero también puede afectar NoSQL, sistemas operativos y servidores LDAP.
- Autenticación rota : muchas aplicaciones tienen funciones de autenticación y autorización inadecuadas o que no funcionan correctamente. Esto puede permitir que un atacante robe credenciales de usuario o obtenga acceso fácilmente sin las credenciales adecuadas.
- La aplicación y las API de exposición de datos confidencialespueden exponer abiertamente datos confidenciales que pertenecen a la organización o sus clientes, incluidos detalles financieros o de pago e información de identificación personal (PII).
- Entidades externas XML (XXE):los atacantes pueden hacer un uso malicioso de referencias de entidades externas en documentos XML, debido a la vulnerabilidad de los analizadores XML antiguos. Estos se pueden usar para obtener acceso a archivos internos, escanear puertos y ejecutar código de forma remota.
- Control de acceso roto: las restricciones para los usuarios autenticados no se implementan correctamente. Un atacante podría usar esto para obtener acceso a funciones o datos no autorizados, acceder a la cuenta de otro usuario, ver archivos confidenciales o cambiar los permisos de otros usuarios.
- Configuración incorrecta de seguridad : incluso si una aplicación tiene funciones de seguridad, es posible que estén mal configuradas. Esto ocurre comúnmente porque nadie cambió la configuración predeterminada de la aplicación. Esto incluye la falla al aplicar parches a sistemas operativos y marcos de trabajo.
- Scripting entre sitios (XSS): permite que un atacante ejecute un script malicioso en el navegador de un usuario. Esto se puede usar para robar su sesión, redirigir a los usuarios a sitios maliciosos o desfaccionar sitios web.
- Deserialización insegura: fallas en la forma en que el código se toma de un archivo y se construye en un objeto. Esto puede permitir la ejecución de código malicioso, la escalada de privilegios y la actividad de reproducción por parte de usuarios autorizados.
- Uso de componentes con vulnerabilidad conocida : varias bases de datos de vulnerabilidades informan sobre vulnerabilidades conocidas en componentes de software. El software que utiliza un componente vulnerable (incluso como una dependencia de uno de sus componentes) está expuesto a ataques.
- Registro y monitoreo insuficientes : es posible que muchas aplicaciones no tengan medios para identificar o registrar intentos de infracción. Esto puede significar que las brechas no se detectan y que los atacantes pueden realizar movimientos laterales para comprometer sistemas adicionales.
Un proceso básico de AppSec involucra las siguientes etapas:
- Definir los activos corporativos
- Determinar cómo cada aplicación afecta estos activos
- Crear un perfil de seguridad para cada aplicación
- Identificar y priorizar las amenazas potenciales
- Registrar incidentes de seguridad e intentos de mitigación
Pruebas de seguridad de aplicaciones estáticas (SAST)
Las herramientas de pruebas de seguridad de aplicaciones estáticas (Static Application Security Testing, SAST) permiten realizar pruebas de caja blanca. Evalúan el código de la aplicación y lo analizan para identificar errores, vulnerabilidades u otras debilidades que puedan generar un problema de seguridad. Las SAST pueden ejecutarse en un código compilado, en un código no compilado o en ambos.
El análisis de las SAST puede identificar problemas como los que se enumeran a continuación:
- Condiciones de carrera
- Cruces de directorio
- Falta de validación de entrada
- Errores numéricos o de datos
- Referencias o punteros no seguros
Pruebas de seguridad de aplicaciones dinámicas (DAST)
Las herramientas de pruebas de seguridad de aplicaciones dinámicas (Dynamic Application Security Testing, DAST) utilizan métodos de prueba de caja negra para analizar las aplicaciones en ejecución y detectar problemas de seguridad. Realizan un análisis dinámico del código fuente mientras este se ejecuta. Las DAST generalmente utilizan el “fuzzing”, que implican proporcionar a la aplicación una gran cantidad de solicitudes aleatorias e inesperadas.
Las DAST pueden detectar condiciones que indican vulnerabilidades de seguridad, como las siguientes:
- Interfaces no seguras o vulnerables
- Solicitudes y respuestas anómalas
- Problemas en las secuencias de comandos en lenguajes como JavaScript y Python
- Inyección de datos o de código
- Anomalías de sesión
- Problemas de autenticación
Aplicación interactiva de pruebas de seguridad (IAST)
Las pruebas de seguridad de aplicaciones interactivas (Interactive Application Security Testing, IAST) presentan un enfoque híbrido que combina las SAST y las DAST. El enfoque interactivo de las pruebas de seguridad combina análisis estáticos y dinámicos, lo que permite identificar vulnerabilidades conocidas y ver si realmente se utilizan en la aplicación en ejecución y pueden explotarse.
Las herramientas de IAST recopilan información detallada sobre el flujo de ejecución de aplicaciones y los flujos de datos y pueden simular patrones de ataque complejos. Mientras realizan un análisis dinámico de una aplicación en ejecución, pueden verificar cómo responde la aplicación y ajustar las pruebas en consecuencia. Esto se puede utilizar para crear, entre otras cosas, nuevos casos de prueba de forma automática (similar a un auditor de pruebas de penetración).
Gracias a este enfoque, las herramientas de IAST pueden investigar profundamente los posibles problemas de seguridad, lo que reduce la cantidad de falsos positivos. También se adaptan mucho más naturalmente a un proceso de desarrollo ágil con lanzamientos frecuentes de versiones.
Firewall de aplicaciones web basado en reglas (WAF)
Un WAF es una solución implementada en el borde de la red, que inspecciona el tráfico que entra y sale de la red e intenta identificar y bloquear el tráfico malicioso.
Los WAF tradicionales basados en reglas son una herramienta de alto mantenimiento que requiere que las organizaciones definan meticulosamente un conjunto de reglas que coincida con sus patrones específicos de tráfico y aplicaciones. Además, los WAF basados en reglas tienen cobertura limitada de los vectores de ataque que están en constante cambio.
Asimismo, los WAF tradicionales no pueden proteger automáticamente los nuevos microservicios, ya que cada nuevo microservicio implementado exige una importante sobrecarga para definir reglas y políticas nuevas. En términos prácticos, esto significa que los nuevos sistemas que la organización implemente, en muchos casos, no estarán protegidos.
Mejores prácticas en la seguridad de aplicaciones
Estas son algunas de las mejores prácticas que puede usar para implementar de manera eficaz la tecnología AppSec en su organización.
Comience con una evaluación de amenazas
Investigue cuáles son los principales puntos de entrada que los atacantes podrían usar para vulnerar sus aplicaciones, qué medidas de seguridad están implementadas y si estas resultan adecuadas. Establezca metas e hitos razonables a lo largo del tiempo para lograr el nivel de seguridad que desea contra cada tipo de amenaza.
Cambie la seguridad a la izquierda
Las pruebas de seguridad deben integrarse completamente al ciclo de vida de desarrollo de software (Software Development Lifecycle, SDLC), desde la etapa de planificación, pasando por el desarrollo, las pruebas, la implementación y finamente la producción.
Utilice herramientas automatizadas para garantizar que las aplicaciones se prueben lo antes posible en el proceso y en múltiples puntos de control a lo largo del proceso de CI/CD. Por ejemplo, cuando un desarrollador comete código y activa una compilación, ese código debe someterse automáticamente a algún tipo de prueba de seguridad, lo que permite al desarrollador solucionar inmediatamente los problemas de seguridad en su código.
Ese mismo código debería probarse nuevamente y de manera más integral cuando se lo promueve a un entorno de prueba y producción.
Priorizar la remediación
La seguridad de aplicaciones dará como resultado el descubrimiento de vulnerabilidades en sus aplicaciones, pero no podrá solucionarlas a todas. La priorización es muy importante para garantizar que las vulnerabilidades críticas se corrijan rápidamente sin perjudicar la productividad del desarrollador.
Su proceso de pruebas de seguridad debe incluir métricas automatizadas que muestren la gravedad y la explotabilidad de la vulnerabilidad y, si es necesario, una evaluación manual que indique si la vulnerabilidad realmente representa un riesgo comercial. Los componentes vulnerables que no se ejecutan en producción no son una prioridad.
Asegúrese de que los desarrolladores sepan que están trabajando en vulnerabilidades reales y de alto perfil y de que tengan el tiempo para corregirlas dondequiera que ocurran en el SDLC.
Seguimiento de los resultados de AppSec
Un programa de AppSec requiere una inversión importante de tiempo y recursos, así como cambios culturales y organizativos. Es importante comprender el impacto del programa en la seguridad para justificarlo y garantizar que esté respaldado por el equipo de gestión.
Algunas métricas importantes que puede registrar y compartir para demostrar el éxito de la tecnología de AppSec (una tendencia semanal o mensual puede demostrar el impacto de introducir medidas de seguridad de aplicaciones):
- Cantidad de violaciones de las políticas internas de AppSec
- Cantidad de violaciones de cumplimiento
- Cantidad de defectos de seguridad encontrados en el entorno de prueba
- Cantidad de defectos de seguridad encontrados en la producción
- Cantidad de incidentes de seguridad
Administrar privilegios
Todo lo relacionado con un programa de seguridad de aplicaciones se traduce en datos confidenciales que podrían ser extremadamente útiles para un atacante. Asegúrese de administrar cuidadosamente lo siguiente:
- La documentación de políticas y procesos
- El acceso a herramientas de seguridad
- El acceso a herramientas de desarrollo y CI/CD
Utilice el principio de privilegio mínimo y asegúrese de que cada usuario solo tenga acceso a los datos y sistemas que absolutamente necesitan para hacer su trabajo. Utilice principios de confianza cero entre los sistemas integrados, asegurando que cada sistema tenga solo los permisos mínimos que necesita para funcionar.
AppSec con Check Point
CloudGuard de Check Point incluye una solución de seguridad de aplicaciones sin configuración que proporciona los siguientes beneficios:
- Prevención precisa: Protección contra ataques sofisticados, como las 10 principales vulneraciones según OWASP sin generar falsos positivos.
- Administración automática de políticas: Se adapta automáticamente a los cambios y actualizaciones de la aplicación.
- Implementación rápida y flexible, desde la fase de implementación hasta la de protección en 48 horas.
Impulsada por un motor de IA contextual pendiente de patente, la aplicación CloudGuard Security está completamente automatizada y se puede implementar en cualquier entorno.
Comentarios