TOP 10 DE OWASP

TOP 10 DE OWASP

1. Es un documento de los diez riesgos de seguridad más importantes en aplicaciones web según la organización OWASP (en inglés Open Web Application Security Project, en español Proyecto Abierto de Seguridad de Aplicaciones Web)

   • El objetivo principal del Top 10 es educar a los desarrolladores, diseñadores, arquitectos, gerentes y organizaciones sobre las consecuencias de las vulnerabilidades de seguridad más importantes en aplicaciones web.
   • CLASIFICACIÓN
     • A1: 2017-Inyección
       • Las fallas de inyección, tales como SQL, NoSQL, OS e inyección de LDAP, ocurren cuando los datos que no son de confianza se envían a un intérprete como parte de un comando o consulta. Los datos hostiles del atacante pueden engañar al intérprete para que ejecute comandos no deseados o acceda a los datos sin la debida autorización.
         • A5: 2017-Control de acceso roto
           • Las restricciones sobre lo que los usuarios autenticados pueden hacer a menudo no se aplican correctamente. Los atacantes pueden explotar estos defectos para acceder a funcionalidades y / o datos no autorizados, como acceder a cuentas de otros usuarios, ver archivos confidenciales, modificar datos de otros usuarios, cambiar derechos de acceso, etc.
     • A2: 2017-Autenticación rota
       • Las funciones de aplicación relacionadas con la autenticación y la administración de sesiones a menudo se implementan incorrectamente, lo que permite a los atacantes comprometer contraseñas, claves o tokens de sesión, o explotar otras fallas de implementación para asumir las identidades de otros usuarios temporal o permanentemente.
         • A6: 2017-Misconfiguración de seguridad
           • La mala configuración de seguridad es el problema más común. Esto es comúnmente el resultado de configuraciones predeterminadas inseguras, configuraciones incompletas o ad hoc, almacenamiento en la nube abierta, encabezados HTTP mal configurados y mensajes de error detallados que contienen información confidencial. No solo se deben configurar de forma segura todos los sistemas operativos, marcos, bibliotecas y aplicaciones, sino que se deben parchear / actualizar oportunamente.
             • A9: 2017: uso de componentes con vulnerabilidades conocidas
               • Los componentes, como bibliotecas, marcos y otros módulos de software, se ejecutan con los mismos privilegios que la aplicación. Si se explota un componente vulnerable, dicho ataque puede facilitar la pérdida grave de datos o la toma del servidor. Las aplicaciones y las API que usan componentes con vulnerabilidades conocidas pueden debilitar las defensas de las aplicaciones y permitir varios ataques e impactos.
     • A3: exposición a datos sensibles a 2017
       • Muchas aplicaciones web y API no protegen adecuadamente los datos confidenciales, como financieros, de atención médica y PII. Los atacantes pueden robar o modificar dichos datos protegidos débilmente para realizar fraude con tarjetas de crédito, robo de identidad u otros delitos.
         • A7: 2017-Cross-Site Scripting (XSS)
           • Las fallas XSS ocurren cuando una aplicación incluye datos no confiables en una nueva página web sin la validación o escape adecuado, o actualiza una página web existente con datos proporcionados por el usuario usando una API de navegador que puede crear HTML o JavaScript. XSS permite a los atacantes ejecutar scripts en el navegador de la víctima que pueden secuestrar sesiones de usuario, desfigurar sitios web o redirigir al usuario a sitios maliciosos.
             • A10: 2017-Insuficiente registro y monitoreo
               • La registración y el monitoreo insuficientes, junto con la integración faltante o ineficaz con la respuesta al incidente, permite a los atacantes atacar más los sistemas, mantener la persistencia, pivotar hacia más sistemas y alterar, extraer o destruir los datos. La mayoría de los estudios de incumplimiento muestran que el tiempo para detectar un incumplimiento es de más de 200 días, típicamente detectado por terceros en lugar de procesos internos o monitoreo.
     • A4: Entidades Externas 2017-XML (XXE)
       • Muchos procesadores XML más antiguos o mal configurados evalúan referencias de entidades externas dentro de documentos XML. Las entidades externas se pueden utilizar para divulgar archivos internos utilizando el manejador de URI de archivos, recursos compartidos de archivos internos, escaneo de puertos internos, ejecución remota de código y ataques de denegación de servicio.
         • A8: 2017-Deserialización insegura
           • La deserialización insegura a menudo conduce a la ejecución remota de código. Incluso si los defectos de deserialización no resultan en la ejecución remota de código, se pueden usar para realizar ataques, incluidos ataques de repetición, ataques de inyección y ataques de escalamiento de privilegios.