OWASP PRINCIPALES VULNERABILIDADES

OWASP PRINCIPALES VULNERABILIDADES

1. Inyección

   • Ocurren cuando se envían datos no confiables a un intérprete, como parte de un comando o consulta.
     • Prevención
       • Utilizar API segura
       • Validaciones de entradas de datos en el servidor
       • Utilizar caracteres especiales
       • Utilizar LIMIT y otros controles SQL

2. Perdida de autenticación

   • Las funciones son implementadas incorrectamente permitiendo a los atacantes la suplantación de identidad de los usuarios
     • Prevención
       • Autenticación multi-factor
       • Controles contra contraseñas débiles
       • Alinear la política de longitud
       • Limitar tiempo de espera
       • Usar gestor de sesión en el servidor

3. Configuración de seguridad incorrecta

   • Problema muy común y se debe a establecer la configuración de forma manual
     • Prevención
       • Plataforma minimalista sin funcionalidades
       • Proceso para revisar y actualizar las configuraciones
       • Arquitectura segmentada de la aplicación
       • Enviar directivas de seguridad a los clientes

4. Exposición de datos sensibles

   • Falta de protección de datos sensibles. Los atacantes pueden robar y modificar esos datos
     • Prevención
       • Clasificar datos procesados
       • Aplicar controles para cada aplicación
       • No almacenar datos sensibles inecesariamente
       • Cifrar datos sensibles cuando se almacenan

5. Entidades externas XML

   • Se pueden utilizar para revelar archivos
     • Prevención
       • Utilizar formato de datos menos complejos
       • Actualizar procesadores y bibliotecas XML
       • Deshabilitar entidades externas XML
       • Implementar validación de entrada mayor en el servidor
       • Utilizar herramientas SAST
       • Considerar usar parcheo

6. Pérdida de control de acceso

   • Los atacantes pueden explotar estos defectos para acceder, de forma no autorizada, a funcionalidades y/o datos, cuentas de otros usuarios, etc
     • Prevención
       • Denegar de forma predeterminada
       • Implementar mecanismos de control de acceso
       • Propiedad de los registros
       • Los modelos de dominio deben hacer cumplir los requisitos
       • Deshabilitar el listado de directorios
       • Registrar y alterar errores de control de acceso
       • Limitar tasa de acceso a las APIs
       • Incluir pruebas de control de acceso

7. Secuencia de comandos en sitios cruzados

   • ocurren cuando una aplicación toma datos no confiables y los envía al navegador web sin una validación y codificación apropiada
     • Prevención
       • Utilizar frameworks seguros
       • Codificar datos de requerimientos HTTP
       • Aplicar codificación sensitiva al contexto
       • Habilitar una política de seguridad de contenido

8. Deserialización Insegura

   • ocurren cuando una aplicación recibe objetos serializados dañinos y estos objetos pueden ser manipulados o borrados por el atacante para realizar ataques de repetición, inyecciones o elevar sus privilegios de ejecución
     • Prevención
       • Verificaciones de integridad
       • Cumplimiento estricto de verificaciónes
       • Aislar código que realiza la deserialización
       • Registrar excepciones y fallas en la deserialización
       • Restringir y monitorear las conexiones de red

9. Uso de componentes con vulnerabilidades conocidas

   • El ataque puede provocar una pérdida de datos o tomar control del servidor
     • Prevención
       • Remover dependencias, funcionalidades no utilizados
       • Utilizar DEPENDENCY CHECK y RETIRE JS
       • Monitorizar continuamente fuentes
       • Obtener componentes de orígenes oficiales
       • • Supervisar bibliotecas y componentes que no poseen mantenimiento o no liberan parches de seguridad para sus versiones obsoletas o sin soporte.

10. Registro y monitoreo insuficientes

    • El registro y monitoreo insuficiente, junto a la falta de respuesta ante incidentes permiten a los atacantes mantener el ataque en el tiempo, pivotear a otros sistemas y manipular, extraer o destruir datos.
      • Prevención
        • eventual análisis forense.
        • Verificar que transacciones de alto impacto tengan una pista de auditoría con controles de integridad para prevenir alteraciones o eliminaciones
        • Establecer una monitorización y alerta efectivos
        • Establecer o adopte un plan de respuesta o recuperación de incidentes

11. controles proactivos de OWASP

    • Definir los requisitos de seguridad
      • Aprovechar los marcos de seguridad y las bibliotecas
        • Acceso a base de datos segura
          • Codificar y escapar de datos
            • Validar todas las entradas
    • Implementar identidad digital
      • Hacer cumplir los controles de acceso
        • Proteja los datos en todas partes
          • Implementar el registro y monitoreo de seguridad
            • Manejar todos los errores y excepciones