Ohne Titel

1. Riesgos de seguridad segun la organizacion OWASP

   • 3.EXPOSICIÓN DE DATOS SENSIBLES
     • VULNERABILIDADES
       • algoritmos criptográficos obsoletos
       • claves criptográficas débiles
       • El tráfico en Internet es especialmente peligroso
       • No verifica el certificado
     • PREVENIR
       • Utilice únicamente algoritmos y protocolos estándares
       • Identifique información sensible
       • No almacene datos sensibles innecesariamente
       • Cifre todos los datos sensibles
   • 1.INYECCION
     • VULNERABILIDADES
       • SQL
       • JSON
       • XML
       • LDAP
       • SMTP
       • Código Fuente
     • PREVENIR
       • utilizar una API segura
       • utilizando la sintaxis de caracteres específica
       • validaciones de entradas de datos en el servidor
       • Utilice LIMIT y otros controles SQL
   • 2.BROKEN AUTHENTICATION
     • VULNERABILIDADES
       • Ataques automatizados
       • Ataques de fuerza bruta
       • Contraseñas por defecto, débiles
       • Proceso de recuperación de credenciales
       • Almacenar las contraseñas en texto claro
       • Expone Session IDs en las URL
     • PREVENIR
       • controles contra contraseñas débiles
       • autenticación multi-factor
       • No credenciales por defecto
       • Registre Todos Los Fallos
   • 4.ENTIDADES EXTERNAS XML (XXE)
     • VULNERABILIDADES
       • Carga XML desde fuentes no confiables
       • La aplicación utiliza SOAP
       • ataques XXE
     • PREVENIR
       • Utilice validadores de dependencias. Actualice SOAP
       • formatos de datos menos complejos como JSON
       • Implemente validación de entrada positiva en el servidor
     • Las herramientas SAST pueden ayudar a detectar XXE
   • 5.PÉRDIDA DE CONTROL DE ACCESO
     • VULNERABILIDADES
       • editar la cuenta de otra persona
       • actuar como un administrador habiendo iniciado sesión como usuario estándar
       • La configuración incorrecta de CORS
     • PREVENIR
       • la política debe ser denegar de forma predeterminada
       • Los modelos de dominio deben hacer cumplir los requisitos
       • Deshabilite el listado de directorios del servidor web y asegúre
       • Registre errores de control de acceso
   • 6.CONFIGURACIÓN DE SEGURIDAD INCORRECTA
     • VULNERABILIDADES
       • Falta hardening
       • habilitadas características innecesarias (ej. puertos, servicios, páginas, cuentas o permisos)
       • contraseñas siguen activas y sin cambios.
       • configuraciones de seguridad en el servidor de aplicaciones, en el framework
       • El software se encuentra desactualizado
     • PREVENIR
       • control de calidad (QA)
       • Elimine o no instale frameworks y funcionalidades no utilizadas
       • Elimine o no instale frameworks y funcionalidades no utilizadas
       • contenedores o grupos de seguridad en la nube (ACLs)
       • proceso automatizado para verificar la efectividad de los ajustes
   • 7.CROSS-SITE SCRIPTING (XSS)
     • VULNERABILIDADES
       • XSS Reflejado: Alguna otra página controlada por el atacante.
       • XSS Basados en DOM: frameworks en JavaScript controlables por un atacante.
       • robo de la sesión, apropiación de la cuenta, evasión de autentificación de múltiples pasos
       • XSS Almacenado: la aplicación almacena datos proporcionados por el usuario sin validar ni sanear
     • PREVENIR
       • Utilizar frameworks seguros
       • Codificar los datos de requerimientos HTTP no confiables
       • Habilitar una Política de Seguridad de Contenido (CSP)
   • 9.USO DE COMPONENTES CON VULNERABILIDADES CONOCIDAS
     • VULNERABILDIADES
       • No conoce las versiones de todos los componentes
       • software es vulnerable, no posee soporte o se encuentra desactualizado
       • No se parchea o actualiza la plataforma subyacente, frameworks y dependencias
     • PREVENIR
       • Monitorizar continuamente fuentes como CVE y NVD
       • Supervisar bibliotecas y componentes que no poseen mantenimiento o no liberan parches de seguridad
       • Remover funcionalidades, componentes innecesaria y no utilizada.

2. 8.DESERIALIZACIÓN INSEGURA

   • VULNERABILIDADES
     • El atacante modifica la lógica de la aplicación
     • Ataques relacionados con el control de acceso
     • La serialización
   • PREVENIR
     • Detectar modificaciones no autorizadas
     • Exija el cumplimiento estricto de verificaciones de tipo de dato
     • Aísle el código que realiza la deserialización

3. 10.REGISTRO Y MONITOREO INSUFICIENTES

   • VULNERABILIDADES
     • Fallos en el inicio de sesión, y transacciones de alto valor no son registrados
     • La aplicación no logra detectar, escalar o alertar sobre ataques en tiempo real
     • Advertencias y errores generan registros poco claros, inadecuados o ninguno
   • PREVENIR
     • Establezca una monitorización y alerta efectivos Existen frameworks de protección de aplicaciones comerciales y de código abierto tales como OWASP AppSensor
     • tengan una pista de auditoría con controles de integridad
     • Asegúrese de que todos los errores de entradas de datos se pueden registrar para identificar cuentas sospechosas

Bilder und Dateien der Mindmap