Cuando se trata de seguridad de pila empresarial, las aplicaciones de software son el eslabón más débil. En El estado de la seguridad de las aplicaciones, 2020Forrester dice que la mayoría de los ataques externos ocurren explotando una vulnerabilidad de software (42%) o mediante una aplicación web (35%).
Los desarrolladores están bajo presión para lanzar funciones lo antes posible a medida que las aplicaciones se vuelven más complejas y los plazos de desarrollo se reducen. Para lograr una funcionalidad de aplicación diferenciada y atractiva, los desarrolladores confían cada vez más en bibliotecas de terceros.
Este cambio hacia componentes de código abierto hace EN LINEA prácticas más complejas para las empresas. Los nuevos marcos, como los contenedores y las API, complican aún más la seguridad de las aplicaciones.
Dado que los desarrolladores se ven presionados para que publiquen nuevas funciones constantemente, las organizaciones se enfrentan a un riesgo muy real de que la seguridad no siga el ritmo. La seguridad se puede lograr incorporando las mejores prácticas de seguridad de las aplicaciones en el ciclo de vida del desarrollo de software e implementándolas.
¿Por qué son importantes las pruebas de seguridad web?
Probar aplicaciones web y sus configuraciones para detectar vulnerabilidades de seguridad es el objetivo de las pruebas de seguridad web. Los ataques a la capa de aplicación (es decir, dirigidos a aplicaciones basadas en HTTP) son los objetivos principales.
Es común enviar diferentes tipos de entrada a una aplicación web para provocar errores y hacer que se comporte de manera inesperada. En estas llamadas "pruebas negativas", el sistema se inspecciona para detectar un comportamiento no previsto.
También es importante tener en cuenta que Pruebas de seguridad web no se trata simplemente de probar las características de seguridad que se implementan en la aplicación (por ejemplo, autenticación y autorización).
También es necesario probar que otras características (por ejemplo, lógica empresarial y validación de entrada y salida) se implementan de forma segura. El objetivo es el acceso seguro a las funciones de la aplicación web.
¿Cuáles son los diferentes tipos de pruebas de seguridad?
- Prueba de seguridad de aplicaciones dinámicas (DAST). Para cumplir con las evaluaciones de seguridad reglamentarias, esta prueba de seguridad de aplicaciones automatizada es ideal para aplicaciones internas de bajo riesgo. Una combinación de pruebas de seguridad web manuales y DAST es el mejor enfoque para aplicaciones de riesgo medio y aplicaciones críticas que están experimentando cambios menores.
- Prueba de seguridad de aplicaciones estáticas (SAST). Este enfoque de la seguridad de las aplicaciones prueba tanto de forma manual como automática. Una aplicación se puede probar de esta manera sin tener que ejecutarla en un entorno de producción. Además, permite a los desarrolladores detectar y eliminar sistemáticamente las vulnerabilidades de seguridad del software escaneando el código fuente.
- Prueba de penetración. Especialmente para aplicaciones que experimentan cambios importantes, esta prueba de seguridad de aplicaciones manual es ideal. Las evaluaciones incluyen lógica empresarial y pruebas basadas en adversarios para identificar escenarios de ataque avanzados.
- Protección (RASP). En este enfoque evolutivo de la seguridad de las aplicaciones se utilizan una serie de técnicas tecnológicas para instrumentar una aplicación de tal manera que los ataques puedan ser monitoreados a medida que se ejecutan e, idealmente, bloqueados en tiempo real.
¿Cómo las pruebas de seguridad de aplicaciones reducen el riesgo de su organización?
La mayoría de los ataques a aplicaciones web
- La técnica de inyección SQL
- Secuencias de comandos entre sitios (XSS)
- Ejecución de comandos de forma remota
- Travesía de ruta
Resultados del ataque
- Contenido restringido
- Cuentas comprometidas
- Instalación de software malicioso
- Ingresos perdidos
- Los clientes pierden la confianza
- Daño reputacional
- Así como mucho más
El entorno web actual es propenso a una amplia gama de problemas. Además de saber cómo se puede explotar una aplicación, conocer los posibles resultados del ataque ayudará a su empresa a abordar de forma preventiva las vulnerabilidades y a probarlas con precisión.
Se pueden aplicar controles de mitigación durante las primeras etapas del SDLC después de identificar la causa raíz de las vulnerabilidades. Además, una prueba de seguridad de aplicaciones web puede aprovechar el conocimiento de cómo funcionan estos ataques para apuntar a puntos de interés conocidos.
Para administrar el riesgo de su empresa, debe comprender el impacto de un ataque, ya que puede usarse para medir la gravedad total de la vulnerabilidad.
Como resultado de una prueba de seguridad, determinar la gravedad de los problemas detectados puede ayudarlo a priorizar los esfuerzos de remediación de manera eficiente y efectiva. Minimice el riesgo de su empresa comenzando con problemas de gravedad crítica y pasando a problemas de menor impacto.
Una evaluación de impacto potencial de cada aplicación en la biblioteca de aplicaciones de su empresa antes de identificar un problema puede ayudar a priorizar las pruebas de seguridad de las aplicaciones.
Cuando las pruebas de seguridad web tienen una lista establecida de aplicaciones de alto perfil, podemos programar las pruebas para apuntar primero a las aplicaciones críticas de su empresa, de modo que se pueda reducir el riesgo contra su negocio.
¿Qué características deben revisarse durante una prueba de seguridad de aplicaciones web?
Se deben examinar varias características durante las pruebas de seguridad de las aplicaciones web, pero la lista no es exhaustiva. Su organización podría estar expuesta a un riesgo grave por una implementación inadecuada de cada uno.
- Configuración de aplicaciones y servidores Los defectos pueden estar relacionados con la configuración del cifrado, las configuraciones del servidor web, etc.
- Validación de entrada y manejo de errores Las vulnerabilidades de inyección más comunes, incluidas la inyección de SQL y la secuencia de comandos entre sitios (XSS), son el resultado de un manejo deficiente de entradas y salidas.
- Autenticación y gestión de sesiones Las vulnerabilidades pueden llevar a la suplantación de identidad de los usuarios. También es esencial una política de credenciales sólida.
- Autorización- Verificación de la capacidad de la aplicación para evitar la escalada de privilegios vertical y horizontal.
- Lógica de negocios- Este tipo de lógica es esencial para la mayoría de las aplicaciones comerciales.
- Lógica del lado del cliente Este tipo de función se está volviendo más común en los sitios web modernos con mucho JavaScript, así como en los sitios web que utilizan otras tecnologías del lado del cliente (por ejemplo, Silverlight, Flash, subprogramas Java).
Las 10 mejores prácticas para la seguridad de aplicaciones web
A continuación se presentan las diez mejores prácticas recomendadas de seguridad de aplicaciones que su organización ya debería estar implementando.
# 1 Rastree sus activos
Si no sabe lo que tiene, no puede protegerlo.
¿Para qué funciones o aplicaciones utiliza servidores específicos? ¿En qué aplicaciones web utiliza componentes de código abierto?
¿Crees que no es importante realizar un seguimiento de tus activos? Es muy importante recordar qué software se está ejecutando dentro de cada aplicación; solo pregúntele a Equifax, que recibió una multa de 700 millones de dólares por no proteger los datos de más de 145 millones de clientes.
Uno de los portales web de clientes de la agencia de calificación crediticia se vio comprometido después de que no se parcheara un componente de código abierto, Apache Struts. La compañía dice que no sabía que el portal del cliente usaba el componente de código abierto vulnerable.
Cuanto antes comience a rastrear sus activos, menos dolores de cabeza y desastres tendrá más adelante. A medida que las organizaciones escalan su desarrollo, este proceso puede parecer una tarea de Sísifo.
También debe clasificar sus activos, señalando aquellos que son críticos para las funciones de su negocio y aquellos que son de menor importancia. Luego, puede evaluar las amenazas y remediarlas más tarde.
# 2 Realice una evaluación de amenazas
Si hace una lista de lo que necesita proteger, podrá identificar las amenazas a las que se enfrenta y cómo se pueden mitigar.
¿Cómo podrían los piratas informáticos entrar en su aplicación? ¿Qué medidas de seguridad tiene implementadas? ¿Qué herramientas adicionales se requieren?
Debe responder estas y otras preguntas como parte de su evaluación de amenazas.
Sin embargo, también debe ser realista sobre el nivel de seguridad que puede disfrutar. No importa lo seguro que sea su sistema, aún puede piratearlo. Además, debe ser honesto sobre las medidas que su equipo puede mantener a lo largo del tiempo.
Puede arriesgarse a que se ignoren sus estándares y prácticas de seguridad presionando demasiado. Tómese la seguridad en serio y no se apresure.
Utilice la siguiente fórmula para evaluar su riesgo:
Riesgo = probabilidad de ataque x impacto del ataque.
El riesgo también se puede considerar como la probabilidad de que suceda algo frente a la gravedad de las consecuencias.
Aunque sería catastrófico si una ballena cayera del cielo y te aplastara, es poco probable que suceda.
Una picadura de mosquito en una caminata, por otro lado, es bastante probable, pero no es probable que cause un daño significativo más allá de unos pocos bultos que pican.
# 3 Manténgase al tanto de sus parches
¿Está instalando los últimos parches en sus sistemas operativos? ¿Está utilizando software de terceros? Lo más probable es que se esté quedando atrás, lo que significa que está expuesto.
Uno de los pasos más importantes que debe tomar para garantizar la seguridad de su software es actualizar el software, ya sea de un proveedor comercial o de una comunidad de código abierto.
Cuando se descubre una vulnerabilidad y se informa de manera responsable a los propietarios del producto o proyecto, se publica en sitios y bases de datos de avisos de seguridad, como WhiteSource Vulnerability Database.
Si es posible, se debe crear y publicar una solución antes de la publicación, brindando a los usuarios la oportunidad de proteger su software.
Sin embargo, si no aplica un parche cuando hay uno disponible, no se beneficiará de una seguridad mejorada.
Si le preocupa que la actualización a la última versión pueda dañar su producto, herramientas automatizadas puede ayudar mucho. Cualquier día de la semana, debe priorizar la actualización y el parcheo como parte de las mejores prácticas de seguridad de su aplicación.
# 4 Administre sus contenedores
En los últimos años, los contenedores han ganado popularidad a medida que más organizaciones adoptan la tecnología debido a su flexibilidad, lo que simplifica el proceso de desarrollo, prueba e implementación de componentes en varios entornos a lo largo del ciclo de vida de desarrollo de software (SDLC).
En general, se acepta que los contenedores ofrecen ventajas de seguridad que les otorgan una ventaja. Además, debido a su entorno de sistema operativo autónomo, están segmentados por diseño, lo que reduce el nivel de riesgo.
Sin embargo, los contenedores continúan siendo vulnerables a exploits como un ataque de fuga, en el que se ha roto el aislamiento. Los contenedores también pueden contener una vulnerabilidad en el código almacenado en ellos.
Para la seguridad de la canalización de CI / CD, debe buscar vulnerabilidades de principio a fin, incluso en sus registros.
Además de estos escaneos, las mejores prácticas para la seguridad de las aplicaciones al trabajar con contenedores también incluyen tareas importantes como firmar sus propias imágenes con herramientas como Docker Content Trust si está usando Docker Hub, o Shared Access Signature si su equipo está usando microsoft Azure.
# 5 Priorice sus operaciones de remediación
Ha habido un número creciente de vulnerabilidades en los últimos años, y esta tendencia no muestra signos de desaceleración en el corto plazo.
En consecuencia, los desarrolladores están ocupados con la remediación. Para los equipos que esperan mantener sus aplicaciones seguras sin dejar de estar cuerdos, la priorización es esencial.
Las evaluaciones de amenazas se realizan en función de la gravedad de una vulnerabilidad (clasificación CVSS), la criticidad de la aplicación afectada y otros factores.
Necesita saber si la vulnerabilidad de código abierto realmente afecta su código propietario cuando se trata de vulnerabilidades de código abierto.
Ineficaz y no de alto riesgo, incluso si la calificación CVSS del componente vulnerable es crítica si no recibe llamadas de su producto.
Las estrategias inteligentes son aquellas que priorizan las amenazas más urgentes primero, en función de los factores presentes, y dejan las de bajo riesgo para más adelante.
# 6 Encriptar, Encriptar, Encriptar
El OWASP Top 10 ha incluido el cifrado de datos en reposo y en tránsito durante años, lo que lo convierte en un requisito para cualquier lista de mejores prácticas de seguridad de aplicaciones.
Los ataques de intermediario y otras formas de intrusión pueden exponer datos confidenciales cuando no logra bloquear el tráfico correctamente.
Cuando almacenar contraseñas e ID de usuario en texto sin formato, por ejemplo, pone en riesgo a sus clientes.
Asegúrese de usar SSL con un certificado actualizado como parte de su lista de verificación básica para el cifrado. No se quede atrás ahora que HTTPS es el estándar. También se recomienda el hash.
Además, nunca debe “lanzar su propia criptografía” como dicen. Considere los productos de seguridad que cuentan con el respaldo de un equipo dedicado con la experiencia para hacer bien el trabajo.
# 7 Administrar privilegios
No tiene que dar acceso a todo a todos en su organización. Las aplicaciones y los datos solo son accesibles para aquellos que los necesitan siguiendo las mejores prácticas de seguridad de red y las mejores prácticas de seguridad de aplicaciones.
Hay dos razones para esto. Lo primero que debe hacer es evitar que un pirata informático use credenciales de marketing para obtener acceso a un sistema que contiene otros datos más confidenciales, como finanzas o legales.
Las amenazas internas también son motivo de preocupación, ya sea involuntariamente, como perder una computadora portátil o enviar un archivo adjunto incorrecto a un correo electrónico, o maliciosas.
El principio del menor privilegio de proporcionar a los empleados solo los datos que necesitan cuando se trata de acceder a los datos podría reducir su exposición en comparación con no tener controles establecidos.
# 8 Adopte la automatización para su gestión de vulnerabilidades
La seguridad de sus aplicaciones se ha vuelto cada vez más importante para los desarrolladores en los últimos años, especialmente cuando se trata de tareas como la gestión de vulnerabilidades.
Para abordar el cambio hacia la izquierda de la seguridad, los equipos de desarrolladores están probando temprano y con frecuencia, impulsando la mayor parte de sus controles de seguridad al principio del proceso de desarrollo cuando es más fácil y barato corregir las vulnerabilidades.
Para administrar el difícil proceso de prueba debido a la gran cantidad de vulnerabilidades, los desarrolladores requieren herramientas automatizadas.
Para encontrar posibles vulnerabilidades de seguridad en su código propietario, se pueden emplear pruebas de seguridad de aplicaciones estáticas (SAST) y pruebas de seguridad de aplicaciones dinámicas (DAST) durante el desarrollo.
Los agujeros de seguridad se cierran con SAST y DAST, sin embargo, el código propietario constituye una parte relativamente pequeña de su código general.
En más del 92% de todas las aplicaciones modernas, los componentes de código abierto constituyen el 60-80% de su base de código. La lista de verificación de seguridad de su aplicación debe priorizar la protección de los componentes de código abierto.
Mediante el uso de herramientas de análisis de composición de software, los equipos pueden ejecutar comprobaciones e informes de seguridad automatizados en todo el SDLC, identificando cada componente de código abierto en su entorno e indicando cuál de ellos tiene una vulnerabilidad conocida que representa un riesgo de seguridad para sus aplicaciones.
Puede administrar mejor sus vulnerabilidades cambiando sus pruebas automatizadas para problemas de seguridad de código abierto a la izquierda.
# 9 Prueba de penetración
Una lista de las mejores prácticas de seguridad de aplicaciones principales estaría incompleta sin mencionar las pruebas de lápiz, a pesar de que las herramientas automatizadas ayudan a detectar la gran mayoría de los problemas de seguridad.
Probar con lápiz y papel te permite pinchar y pinchar tu aplicación para encontrar puntos débiles. Si un hacker determinado intenta entrar en su aplicación, los buenos testers saben exactamente qué pasos deben seguir.
Se pueden contratar empresas de piratería o autónomos pueden participar en programas de recompensas de errores como BugCrowd y HackerOne. Su empresa debería patrocinar una recompensa por errores si aún no lo ha hecho.
Si contrata probadores de lápiz, es mucho mejor pagar por ellos que lidiar con las consecuencias de una infracción real.
# 10 Tenga cuidado con las fichas
A pesar de que es fácil de proteger, muchos desarrolladores no protegen adecuadamente sus tokens para terceros.
Al buscar en sitios web de desarrolladores populares, puede encontrar fácilmente tokens no seguros en línea. En lugar de almacenar los detalles del token en otro lugar, los desarrolladores simplemente los incluyen en sus repositorios de código abierto.
Una de las mejores prácticas de seguridad de aplicaciones básicas es proteger adecuadamente sus tokens de terceros. No debe dejar los tokens que ha comprado en su código para que cualquiera los tome.
Mejores prácticas de seguridad de aplicaciones como prácticas básicas
Cada una de las mejores prácticas descritas aquí debe integrarse en el proceso de desarrollo continuo de su organización. Las aplicaciones y los datos de su empresa están en riesgo si no minimiza el riesgo. Siga estos pasos para minimizar el riesgo.
Evitar los errores que es probable que cometan otros es una forma de adelantarse a los piratas informáticos, por lo que es más difícil apuntar a los ataques. Nunca habrá una medida de seguridad perimetral o de aplicación que sea completamente a prueba de piratería.
Sin embargo, seguir estas mejores prácticas básicas puede ser de gran ayuda para que su aplicación no valga la pena para los piratas informáticos.
