OWASP

OWASP

1. A2: PERDIDA DE AUTENTICACION

   • CARACTERISTICAS
     • ATACANTE DETECTA AUTENTICACION
     • ATACANTE TIENE ACCESO
     • ROBO DE IDENTIDAD
   • PREVENCION
     • IMPLEMENTAR AUTENTICACION MULTIFACTOR
     • NO UTILIZAR CREDENCIAL POR DEFECTO
     • CONTROL DE CONTRASEÑAS
   • SOLUCION
     • CAMBIO DE USUARIOS
     • CAMBIO DE CONTRASEÑA
     • ACCESO RESTRINGIDO

2. A4: ENTIDADES EXTERNAS XML (XXE)

   • CARACTERISTICAS
     • ATACANTES EXPLOTAN PROCESADORES XML
     • HABILITADAS DTDs
     • UTILIZAN APLICACION SAML
   • PREVENCION
     • ACTUALIZAR PROCESADORES Y BIBLIOTECAS XML
     • UTILIZACION DE DATOS MENOS COMPLEJOS COMO SER JSON
     • IMPLEMENTAR VALIDACION DE ENTRADA POSITIVA EN EL SERVIDOR
   • SOLUCION
     • DETECTAR BLOQUEAR ATAQUES XXE
     • UTILIZAR VALIDACION PARA CARGA DE ARCHIVOS
     • UTILIZAR VALIDADORES DE DPENDENCIAS

3. A5: PERDIDA DE CONTROL DE ACCESO

   • CARACTERISTCAS
     • NO CONTAR CON COMPROBACION DE ACCESO
     • ELEVACION DE PRIVILEGIOS
     • MANIPULACION DE METADATOS
   • PREVENCION
     • IMPLEMENTAR MECANISMOS DE CONTROL DE ACCESO
     • REGISTRAR ERRORES DE CONTROL DE ACCESO
     • LIMITAR LAS TASAS DE ACCESO DE LAS APIs
   • SOLUCION
     • LIMITAR ACCESO DE CONTROL
     • DENEGAR ACCESOS PREDETERMINADOS
     • VALIDAR ACCESO DE CONTROL

4. A7: SECUENCIA DE COMANDOS EN SITIOS CRUZADO

   • SOLUCION
     • HABILITAR UNA POLITICA DE SEGURIDAD DE CONTENIDO
     • DETECTAR PROBLEMAS XSS
     • CORRECCION DE PROBLEMAS XSS
   • CARACTERISTICAS
     • XSS REFLEJADO
     • XSS ALMACENADO
     • XSS BASADOS EN DOM
   • PREVENCION
     • UTILIZAR FRAMEWORKS SEGUROS
     • CODIFICAR DATOS DE REQUERIMIENTO HTTP
     • APLICAR CODIFICACION SENSITIVA AL CONTEXTO

5. A8: DESERIALIZACION INSEGURA

   • PREVENCION
     • IMPLEMENTAR VERIFICACIONES DE INTEGRIDAD
     • CUMPLIMIENTO ESTRICTO DE VERIFICACIONES
     • AISLAR CODIGO DE DESERIALIZACION
   • SOLUCION
     • DETECTAR INSEGURIDADES DE DESIARLIZACION
     • CORREGIR LA INSEGURIDAD
     • VALIDAR DESERIALIZACION
   • CARACTERISTICAS
     • ATACANTE MODIFICA LOGICA DE LA ALICACION
     • ATAQUE CONTROL DE ACCESO
     • MANIPULACION DE DATOS

6. A9: COMPONENTES CON VULNERABILIDADES CONOCIDAS

   • PREVENCION
     • UTILIZAR INVENTARIO DE VERSION
     • REMOVER DEPENDENCIAS
     • MONITORIZAR FUENTES CVE NVD
   • SOLUCION
     • CORREGIR ERRORES
     • ANALIZAR BOLETINES DE SEGURIDAD
   • CARACTERISTICAS
     • SOFTWARE VULNERABLE
     • NO SE ANALIZA BOLETINES DE SEGURIDAD
     • VULNERABILIDADES CONOCIDAS

7. A10: REGISTRO Y MONITOREO INSUFICIENTES

   • SOLUCION
     • IMPLEMENTAR MONITOREOS
     • REGISTROS COMPLETOS
   • PREVENCION
     • REGISTRAR ERRORES DURANTE TIEMPO NECESARIO
     • PISTA DE AUDITORIA
     • TRANSACCIONES REGISTRADAS
   • CARACTERISTICAS
     • EVENTOS AUDITABLES
     • REGISTRO DE ERRORES Y ADVERTENCIAS
     • REGISTRO EN APIs

8. A6: CONFIGURACION DE SEGURIDAD INCORRECTA

   • CARACTERISTICAS
     • FALTA DE HARDENING ADECUADO
     • SERVIDOR NO ENVIA DIRECTRICES
     • HABILITADAS CARACTERISTICAS INNECESARIA
   • PREVENCION
     • ARQUITECTURA SEGMENTADA
     • CREDENCIAL DIFERENTE CADA ENTORNO
     • PLATAFORMA MINIMALISTA SIN FUNCIONALIDADES
   • SOLUCION
     • DESHABILITAR ACCESO A CUENTAS POR DEFECTO
     • CONFIGURAR CORRECTAMENTE SEGURIDAD
     • DESHABILITAR CARACTERISTICAS INNECESARIA

9. A3: EXPOSICION DE DATOS SENSIBLE

   • CARACTERISTICAS
     • TRANSMISION DE DATOS EN TEXTO CLARO
     • UTILIZACION DE ALGORITMOS CRIPTOGRAFICOS OBSOLETOS
     • CLAVES CRIPTOGRAFICAS PREDETERMINADAS
   • PREVENCION
     • CLASIFICACION DE DATOS PROCESADOS / ALMACENADOS
     • CIFRAR DATOS SENSIBLES
     • NO ALMACENAR DATOS SENSIBLES INNECESARIOS
   • SOLUCION
     • IMPLEMENTAR CRIPTOGRAFIA
     • DESHABILITAR ALMACENAMIENTO EN CACHE DATOS SENSIBLES

10. A1: INYECCION

    • CARACTERISTICAS
      • ATACANTE ENVIA INFORMACION DAÑINA AL INTERPRETE
      • DIVULGACION DE DATOS
      • PERDIDA O CORRUPCION DE INFORMACION
    • PREVENCION
      • UTILIZAR API SEGURA
      • REALIZAR VALIDACION DE ENTRADAS
      • UTILIZAR LIMIT Y OTROS CONTROLES
    • SOLUCION
      • EXAMINAR EL CODIGO
      • ESCANEAR
      • FUZZERS