OWASP

OWASP

1. Definición

   • OWASP es una organización conocida a nivel mundial que agrupa una gran cantidad de profesionales de la seguridad informática para generar conocimiento al rededor de la seguridad web,

2. Proyectos

   • OSWASP cuenta con una gran cantidad de proyectos de innovación en seguridad en la que participan muchas personas y que son un referente en la industria
     • Proyecto OWASP TOP TEN (OWASP TOP 10)
       • De que se trata ?
         • Es un listado de los problemas más comunes encontrados en las aplicaciones web organizados por criticidad el cual se ha convertido en un estándar de facto en las auditorías web. La utima version actulizada es 2017
           • Contenido
             • A1. Inyección
               • Las fallas de inyección, como SQL, NoSQL, OS e inyección de LDAP, ocurren cuando se envían datos no confiables a un intérprete como parte de un comando o consulta. Los datos hostiles del atacante pueden engañar al intérprete para ejecutar comandos no deseados o acceder a datos sin la debida autorización.
                 • Prevensión
                   • La prevención de la inyección requiere mantener los datos separados de comandos y consultas.
             • A2. Perdida de autenticacion y gesion de sesiones
               • Las funciones de aplicación relacionadas con la autenticación y la administración de sesiones a menudo se implementan incorrectamente, permitiendo a los atacantes comprometer contraseñas, claves o tokens de sesión, o explotar otros defectos de implementación para asumir las identidades de otros usuarios temporal o permanentemente.
                 • Prevensión
                   • Donde sea posible, implemente la autenticación de múltiples factores para prevenir el relleno automático de credenciales, la fuerza bruta y el robo ataques de reutilización de credenciales. • No envíe ni implemente con credenciales predeterminadas, particularmente para usuarios administrativos. • Implementar verificaciones de contraseña débil, como probar nuevas o cambiado contraseñas contra una lista de los mejores 10000 peores contraseñas
             • A3. Exposición de datos sensibles
               • Muchas aplicaciones web y API no protegen adecuadamente los datos confidenciales, como financieros, cuidado de la salud y PII. Los atacantes pueden robar o modificar dichos datos débilmente protegidos para realizar un crédito fraude con la tarjeta, robo de identidad u otros delitos. Los datos confidenciales pueden verse comprometidos sin extra protección, como el cifrado en reposo o en tránsito, y requiere precauciones especiales cuando intercambiado con el navegador.
                 • Prevensión
                   • Haga lo siguiente, como mínimo, y consulte las referencias: • Clasificar los datos procesados, almacenados o transmitidos por un solicitud. Identificar qué datos son sensibles de acuerdo con la privacidad requisitos reglamentarios o necesidades comerciales. • Aplicar controles según la clasificación. • No almacene datos confidenciales innecesariamente. Deséchelo tan pronto como posible • Asegúrese de encriptar todos los datos confidenciales en reposo. Asegurar algoritmos estándar actualizados y fuertes, protocolos, y las llaves están en su lugar; utilizar la gestión de claves adecuada. • Cifre todos los datos en tránsito con protocolos seguros como TLS con cifras perfectas de secreto hacia adelante (PFS), priorización de cifrado por el servidor, y los parámetros de seguridad.
             • A4. Entidad externa XML (XXE)
               • Muchos procesadores XML antiguos o mal configurados evalúan referencias de entidades externas dentro de XML documentos. Las entidades externas se pueden utilizar para divulgar archivos internos utilizando el manejador URI de archivo, recursos compartidos de archivos internos, escaneo interno de puertos, ejecución remota de código y ataques de denegación de servicio.
                 • Prevensión
                   • Algunas recomendaciones para prevenir este falla son:La capacitación del desarrollador es esencial para identificar y mitigar XXE. Además de eso, prevenir XXE requiere: • Siempre que sea posible, use formatos de datos menos complejos como JSON, y evitar la serialización de datos confidenciales. • Parche o actualice todos los procesadores XML y bibliotecas en uso por la aplicación o en el sistema operativo subyacente.
             • A5. Control de acceso roto
               • Las restricciones sobre lo que los usuarios autenticados pueden hacer a menudo no se aplican correctamente. Los atacantes pueden explotar estos defectos para acceder a funcionalidades y / o datos no autorizados, como acceso cuentas de otros usuarios, ver archivos confidenciales, modificar datos de otros usuarios, cambiar derechos de acceso, entre otros.
                 • Prevensión
                   • Algunos de los controles requeridos para prevenir este tipo de ataque son:El control de acceso solo es efectivo si se aplica en el lado del servidor de confianza código o API sin servidor, donde el atacante no puede modificar el verificación de control de acceso o metadatos. • Con la excepción de los recursos públicos, denegar de manera predeterminada. • Implementar mecanismos de control de acceso una vez y reutilizarlos durante toda la aplicación. • Los controles de acceso del modelo deben hacer cumplir la propiedad del registro, en lugar de que aceptar que el usuario puede crear, leer, actualizar o eliminar cualquier registro
             • A6.Configiracion de seguridad incorrecta
               • La mala configuración de seguridad es el problema más común. Esto es comúnmente un resultado de inseguridad configuraciones predeterminadas, configuraciones incompletas o ad hoc, almacenamiento en la nube abierto, mal configurado Encabezados HTTP y mensajes de error detallados que contienen información confidencial
                 • Prevensión
                   • Deben implementarse procesos de instalación seguros, que incluyen: • Un proceso de endurecimiento repetible que hace que sea rápido y fácil implementar otro entorno que esté correctamente bloqueado. Una plataforma mínima sin características innecesarias, componentes, documentación y muestras. Eliminar o no instalar características no utilizadas. Una arquitectura de aplicación segmentada que proporciona separación segura entre componentes , con segmentación, o grupos de seguridad en la nube.
             • A7. Secuencia de comando es sitios cruzados (XXS)
               • Las fallas XSS ocurren cada vez que una aplicación incluye datos no confiables en una nueva página web sin validación o escape adecuados, o actualiza una página web existente con datos proporcionados por el usuario utilizando un API de navegador que puede crear HTML o JavaScript.
                 • Prevensión
                   • La prevención de XSS requiere la separación de datos no confiables de contenido activo del navegador. Esto se puede lograr por: • Usar framewroks que escapan automáticamente a XSS por diseño, • Eliminar datos de solicitud HTTP no confiables en función del contexto en la salida HTML (cuerpo, atributo, JavaScript, CSS o URL) resolver vulnerabilidades XSS reflejadas y almacenadas • Aplicar codificación sensible al contexto cuando se modifica el el documento del navegador en el lado del cliente actúa contra DOM XSS
             • A8. Deserializacon insegura
               • La deserialización insegura a menudo conduce a la ejecución remota de código. Incluso si los defectos de deserialización no como resultado la ejecución remota de código, se pueden usar para realizar ataques, incluidos los de reproducción, ataques de inyección y ataques de escalada de privilegios.
                 • Prevensión
                   • El único patrón arquitectónico seguro es no aceptar objetos serializados de fuentes no confiables o usar medios de serialización que solo permite tipos de datos primitivos
             • A9 Uso de componentes con vulnerabilidades conocidas
               • Los componentes, como bibliotecas, marcos y otros módulos de software, se ejecutan con el mismo privilegios como la aplicación. Si se explota un componente vulnerable, dicho ataque puede facilitar pérdida de datos graves o toma del servidor. Aplicaciones y API que usan componentes con componentes conocidos las vulnerabilidades pueden socavar las defensas de las aplicaciones y permitir varios ataques e impactos
                 • Prevensión
                   • Debe haber un proceso de administración de parches para: • Eliminar dependencias no utilizadas, características innecesarias componentes, archivos y documentación. • Inventario continuo de las versiones del lado del cliente y componentes del lado del servidor. Solo obtenga componentes de fuentes oficiales a través de enlaces seguros. Monitorear bibliotecas y componentes que no se han mantenido o no cree parches de seguridad para versiones anteriores.
             • A10. Insuficiente registro y monitoreo
               • nsuficiente registro y monitoreo, junto con una integración faltante o ineficaz con el incidente respuesta, permite a los atacantes atacar más sistemas, mantener la persistencia, pivotar hacia más sistemas, y manipular, extraer o destruir datos
                 • Prevensión
                   • Según el riesgo de los datos almacenados o procesados por el solicitud: • Asegurar todos los inicios de sesión, las fallas de control de acceso y la entrada del lado del servidor Las fallas de validación se pueden registrar con suficiente contexto de usuario para identificar cuentas sospechosas o maliciosas, y retenido por suficiente tiempo para permitir un análisis forense demorado. • Asegúrese de que los registros se generan en un formato que puede ser fácilmente consumido por soluciones de gestión de registros centralizadas. • Asegurar que las transacciones de alto valor tengan una pista de auditoría con integridad controles para evitar alteraciones o eliminaciones, como append-only tablas de bases de datos o similares. • Establecer un monitoreo y alertas efectivos de tal manera que las actividades son detectadas y respondidas de manera oportuna.