TOP 10 THREATS

TOP 10 THREATS

1. A1-Inyección

   • :Las fallas de inyección, tales como SQL, OS Y LDAP, ocurren cuando datos no confiables son enviados a un interprete como parte de un comando o consulta. Los datos hostiles del atacante pueden engañar al interprete en ejecutar comandos no intencionados o acceder datos no autorizados.

2. A2- Secuencia de comandos en sitios cruzados(xss)

   • Las fallas xxs ocurren cada vez que una aplicación toma datos no confiables y los envía al navegador web sin una validación y codificación apropiada. XSS permite a los atacantes ejecutar secuencia de comandos en el navegador de la víctima los cuales pueden secuestrar las sesiones de usuarío, destruir sitios web, o dirigir al usuario hacia un sitio malicioso.

3. A3- Pérdida de Autenticación y Gestion de Sesiones

   • Las funciones de la aplicación relacionadas a autenticación y gestión de sesiones son frecuentemente implementadas incorrectamente, permitido a los atacantes comprometer contraseñas, llaves, token de sesiones, o explotar otras fallas de implementacion para asumir la identidad de otros usuarios.

4. A4- Referencia Directa Insegura a Objetos

   • Una referencia directa a objetos ocurre cuando un desarrollador expone una referencia a un objeto de implementación interno, tal como un fichero, directorio, o base de datos. Sin un chequeo de control de acceso u otra protección, los atacantes pueden manipular estas referencias para acceder datos no autorizados.

5. A5- Falsificación de Peticiones en Sitios Cruzados (CSRF)

   • Un ataque CSRF obliga al navegador de una victima autenticada a enviar una petición HTTP falsificado, incluyendo la sesión del usuario y cualquier otra información de autenticación incluida automáticamente, a una aplicación web vulnerable. Esto permite al atacante forzar al navegador de la victima para generar pedidos que la aplicación vulnerable piensa son peticiones legitimas provenientes de la víctima.

6. A6- Defectuosa Configuración de Seguridad

   • Una buena seguridad requiere tener definida e implementada una configuración segura para la aplicación, marcos de trabajo, servidor de aplicación, servidor web, base de datos y plataforma. Todas estas configuraciónes deben ser definidas, implementadas, y matematicas ya que por lo general no son seguras por defecto. Esto incluye mantener todo el software actualizado, incluidas las librerías de código utilizadas por la aplicación.

7. A7- Almacenamiento Criptográfico Inseguro

   • Muchas aplicaciones web verifican los privilegios de acceso a URLs antes de generar enlaces o botones protegidos. Sin embargo, las aplicaciones necesitan realizar controles similares cada vez que estas páginas son accedidas, o los atacantes podrán falsificar URLs para acceder a estas páginas igualmente.

8. A8- Falla de Restricción de Acceso a URL

   • Muchas aplicaciones web verifican los privilegios de acceso a URLs antes de generar enlaces o botones protegidos. Sin embargo, las aplicaciones necesitan realizar controles similares cada vez que estas páginas son accedidas, o los atacantes podrán falsificar URLs para acceder a estas páginas igualmente.

9. A9- Protección Insuficiente en la capa de Transporte

   • Las aplicaciones frecuetemente fallan al autenticar, cifrar, y proteger la confidelidad e integridad de tráfico de red sensible. Cuando esto ocurre, es debido a la utilización de algoritmos débiles, certificados expirados, inválidos o sencillamente no utilizados correctamente.

10. A10- Redirecciones y Reenvíos no validados

    • Las aplicacioes web frecuentemente redirigen y reenvían a los usuarios hacia otras páginas o sitios web, y utilizan datos no confiables para determinar la página de destino. Sin una validación apropiada, los atacantes pueden redirigir a las víctimas hacia sitios de phishing, o utilizar reenvíos para acceder páginas no autorizadas.

11. MANUEL EDUARDO BAÑUELOS VALADEZ