OWASP final

OWASP final

1. Definición

   • OWASP es una organización conocida a nivel mundial que agrupa una gran cantidad de profesionales de la seguridad informática para generar conocimiento al rededor de la seguridad we

2. Proyectos

   • OSWASP cuenta con una gran cantidad de proyectos de innovación en seguridad en la que participan muchas personas y que son un referente en la industria
     • Proyecto OWASP TOP TEN (OWASP TOP 10)
       • De que se trata ?
         • Es un listado de los problemas más comunes encontrados en las aplicaciones web organizados por criticidad el cual se ha convertido en un estándar de facto en las auditorías web. La utima version actulizada es 2017
           • Contenido
             • A1. Inyección
               • Las fallas de inyección, como SQL, NoSQL, OS e inyección de LDAP, ocurren cuando se envían datos no confiables a un intérprete como parte de un comando o consulta. Los datos hostiles del atacante pueden engañar al intérprete para ejecutar comandos no deseados o acceder a datos sin la debida autorización.
             • A2. Perdida de autenticación y gesitón de sesiones
               • Las funciones de aplicación relacionadas con la autenticación y la administración de sesiones a menudo se implementan incorrectamente, permitiendo a los atacantes comprometer contraseñas, claves o tokens de sesión, o explotar otros defectos de implementación para asumir las identidades de otros usuarios temporal o permanentemente.
             • A3. Exposición de datos sensibles
               • Muchas aplicaciones web y API no protegen adecuadamente los datos confidenciales, como financieros, cuidado de la salud y PII. Los atacantes pueden robar o modificar dichos datos débilmente protegidos para realizar un crédito fraude con la tarjeta, robo de identidad u otros delitos. Los datos confidenciales pueden verse comprometidos sin extra protección, como el cifrado en reposo o en tránsito, y requiere precauciones especiales cuando intercambiado con el navegador.
             • A4. Entidad externa XML (XXE)
               • Muchos procesadores XML antiguos o mal configurados evalúan referencias de entidades externas dentro de XML documentos. Las entidades externas se pueden utilizar para divulgar archivos internos utilizando el manejador URI de archivo, recursos compartidos de archivos internos, escaneo interno de puertos, ejecución remota de código y ataques de denegación de servicio.
             • A5. Control de acceso roto
               • Las restricciones sobre lo que los usuarios autenticados pueden hacer a menudo no se aplican correctamente. Los atacantes pueden explotar estos defectos para acceder a funcionalidades y / o datos no autorizados, como acceso cuentas de otros usuarios, ver archivos confidenciales, modificar datos de otros usuarios, cambiar derechos de acceso, entre otros.
             • A6.Configiración de seguridad incorrecta
               • La mala configuración de seguridad es el problema más común. Esto es comúnmente un resultado de inseguridad configuraciones predeterminadas, configuraciones incompletas o ad hoc, almacenamiento en la nube abierto, mal configurado Encabezados HTTP y mensajes de error detallados que contienen información confidencial
             • A7. Secuencia de comando es sitios cruzados (XXS)
               • Las fallas XSS ocurren cada vez que una aplicación incluye datos no confiables en una nueva página web sin validación o escape adecuados, o actualiza una página web existente con datos proporcionados por el usuario utilizando un API de navegador que puede crear HTML o JavaScript.
             • A8. Deserialización insegura
               • La deserialización insegura a menudo conduce a la ejecución remota de código. Incluso si los defectos de deserialización no como resultado la ejecución remota de código, se pueden usar para realizar ataques, incluidos los de reproducción, ataques de inyección y ataques de escalada de privilegios.
             • A9 Uso de componentes con vulnerabilidades conocidas
               • Los componentes, como bibliotecas, frameworks y otros módulos de software, se ejecutan con el mismo privilegios como la aplicación. Si se explota un componente vulnerable, dicho ataque puede facilitar pérdida de datos graves o toma del servidor. Aplicaciones y API que usan componentes con componentes conocidos las vulnerabilidades pueden socavar las defensas de las aplicaciones y permitir varios ataques e impactos
             • A10. Insuficiente registro y monitoreo
               • Insuficiente registro y monitoreo, junto con una integración faltante o ineficaz con el incidente respuesta, permite a los atacantes atacar más sistemas, mantener la persistencia, pivotar hacia más sistemas, y manipular, extraer o destruir datos