OWASP TOP 10

OWASP TOP 10

1. 1. injection

   • 1 Threat Agent
     • Cualquier que pueda enviar data no confiable
   • 2.Attack Vectors
     • Casi cualquier fuente de datos puede sufrir este ataque
   • 3.Security Weaknees
     • ocurre con colsultas SQL,LDAP, comadndos de SO
   • 4.Technical Impacts
     • Perdida o corrupcion de datos
   • 5 Bussiness Impacts
     • Daña la reputacion del negocio

2. 2. Cross site Scripting (Xss)

   • 1 Threat Agent
     • Cualquier que pueda enviar data no confiable
   • 2.Attack Vectors
     • Ataques basados en scrips que explotan el interprete del browser
   • 3.Security Weaknees
     • XSS es el riesgo de seguridad que mas se presenta en aplicaciones web
   • 4.Technical Impact
     • Robo de sesiones
     • Modificacion del sitio web
   • 5 Bussiness Impacts
     • El impacto en el negocio de la exposicion publica de la vunerabilidad

3. 3. Broken Authentication and Session Management

   • 1 Threat Agent
     • Atacantes anonimos externos
   • 2.Attack Vectors
     • Atacantes usan fallas en la administacion de sesion o autenticacion para hacerse pasar por usuarios autenticados
   • 3.Security Weaknees
     • Estos Mecanismos a veces vienen con fallas en : administracion de sesion y password, timeout,remember
   • 4.Technical Impact
     • una vez hecho el atacante puede hacer cualquier cosa que la victima puede hacer
   • 5 Bussiness Impacts
     • El impacto en el negocion de la exposicion publica de la vunerabilidad

4. 4. Insecure Direct Object References

   • 1 Threat Agent
     • Analiza los tipos de usuario de tu sistema
   • 2.Attack Vectors
     • Un usuario del sistema autenticado, simplemente cambia el valor de un parametro por otro
   • 3.Security Weaknees
     • En las aplicaciones se usa el nombre o el identificador
   • 4.Technical Impact
     • Tales fallas pueden comprometer toda la data que puede ser referenciada por el parametro
   • 5 Bussiness Impacts
     • El impacto en el negocio de la exposicion publica de la vulnerabilidad

5. 5. Cross site request forgery (CSRF)

   • 1 Threat Agent
     • Cualquier que pueda engañar a tus usuarios para enviar una peticion a tu sitio web
   • 2.Attack Vectors
     • Si el usuario esta autenticado el ataque es exitoso
   • 3.Security Weaknees
     • Desde que los navegadores envian credenciales automaticamente, un atacante puede crear una pagina maliciosa que genere peticiones falsas
   • 4.Technical Impac
     • Causa que una victima cambie o ejecute alguna accion que esta autorizado a hacer sin su conocimiento
   • 5 Bussiness Impacts
     • El impacto en el negocion de la exposicion publica de la vulnerabilidad

6. 6. Security Misconfiguration

   • 1 Threat Agent
     • Usuarios Externos anonimos
     • Usuario con cuentas propias
   • 2.Attack Vectors
     • Atacantes pueden acceder a: cuentas por defecto paginas sin usar manejo de errores inadecuado, archivos o directorios sin proteger
   • 3.Security Weaknees
     • Desarrolladores y administradores de red necesitan trabajar juntos para asegurar que todo este configurado adecuadamente
   • 4.Technical Impa
     • A veces estas fallas comprometen a todo el sistema
   • 5 Bussiness Impacts
     • Toda la data puede ser robada o modificada con el tiempo
     • Los costos de recuperacion pueden ser altos

7. 7 Insecure cryptographic Storage

   • 1 Threat Agent
     • Usuarios del sistema
     • Les gustaria tener acceso a data protegida a la que no estan autorizados acceder
   • 2.Attack Vectors
     • Ellos Encuentran las llaves obtiene copias de datos en texto plano o acceden a data via canales que automaticamente descifran
   • 3.Security Weaknees
     • Cuando el cifrado es empleado es comun usar generacion de llaves debiles, almacenamiento inseguros o algoritmos debiles
   • 4.Technical Impa
     • Esta informacion incluye data sensible como: credenciales o tarjetas de credito
   • 5 Bussiness Impacts
     • Considere el valor de negocio de los datos perdidos
     • Cosidera el daño a tu reputacion

8. 8. Failure to Restrict URL Acccess

   • 1 Threat Agent
     • Cualquier con acceso a la red puede enviar una peticion a tu aplicacion
     • ¿Usuarios anonimos pueden acceder a una pagina privada?
   • 2.Attack Vectors
     • Usuarios anonimos pueden acceder a paginas privadas que no estan protegidas
   • 3.Security Weaknees
     • A veces la proteccion de URL es manejada via configuracion pero no esta bien configurada
   • 4.Technical Impa
     • El atacante puede hacer algo que la victima puede hacer tambien
   • 5 Bussiness Impacts
     • Considere el valor de negocio de los datos expuestos