Web Application Security: ¿Qué es y cómo pueden mejorarla las pymes y startups?

Las aplicaciones web, o web apps, como cualquier otro software, son programadas con algunas vulnerabilidades informáticas, las cuales podrían ser aprovechadas para llevar a cabo ciberataques, o cyberattacks, que pongan en riesgo a la organización o empresa dueña de la aplicación.

La seguridad de las aplicaciones web o web application security es la práctica de proteger las páginas web, aplicaciones y APIs de un ataque informático. Su finalidad es que las plataformas sean capaces de funcionar de manera normal, incluso cuando están siendo atacadas.

Los cibercriminales pueden atacar las aplicaciones web debido a cuatro razones principales:

• Hay información valiosa y sensible que puede ser robada.
• Existen errores comunes en las configuraciones de seguridad.
• Los componentes o programas se encuentran desactualizados.
• La facilidad de automatizar ataques cibernéticos a escala.

La globalización del Internet ha hecho que los ciberataques varíen ampliamente en cuanto a su naturaleza, magnitud y complejidad. Estos son cada vez más sofisticados y frecuentes, llegando a interferir con el funcionamiento de pymes y startups, causando retrasos o exponiendo datos sensibles de las empresas y sus clientes.

El costo de estos ataques va más allá de los evidentes costos monetarios que implica la respuesta a un incidente. Implica también la pérdida de credibilidad, reputación y confianza de los clientes.

Las grandes compañías son capaces de soportar este tipo de ataques, pero en ocasiones, un ataque a una empresa pequeña podría ser devastador, obligándolas a cerrar sus operaciones.

El Open Web Application Security Project (OWASP) es una fundación que busca optimizar la seguridad de distintos tipos de software a través de un proyecto de código abierto. 

Es reconocida por la publicación de un documento denominado «The OWASP Top 10 Web Application Security Risks» (El top 10 de los riesgos de seguridad de las aplicaciones web de OWASP), en el que detallan las diez principales vulnerabilidades de las aplicaciones web y las buenas prácticas que pueden adoptarse para contrarrestarlas.

A continuación te explicamos cuáles son estos riesgos:

1. Control de acceso roto

En una aplicación web existen distintos niveles de acceso. Lo natural es que los usuarios tengan cierto nivel de acceso (como a su propio contenido) y los desarrolladores tengan un acceso más elevado (como para modificar distintos elementos de la aplicación).

El control de acceso roto, o broken access control, se refiere entonces a cuando existe algún tipo de acceso al sistema por un usuario que no debería tener este tipo de acceso. Un ejemplo de esto sería un usuario de la aplicación con la capacidad de borrar la cuenta de otro usuario, actuando como si fuese el administrador.

2. Fallas criptográficas

En el desarrollo de una aplicación es importante determinar cuáles son los datos que necesitan protección. Estos podrían ser la información personal de un usuario, los datos de sus tarjetas bancarias, información sensible de la empresa, entre otros. 

Estos datos usualmente son protegidos mediante la encriptación criptográfica. Sin embargo, esto a veces puede fallar por distintas razones, como el uso de algún algoritmo criptográfico débil o viejo, el excesivo reuso de llaves criptográficas sin la rotación adecuada o una débil generación de valores aleatorios.

3. Inyecciones

Las inyecciones se refieren a la introducción de código malicioso, o malicious code, que puede realizar un atacante, utilizando aquellos campos de la aplicación donde se puede escribir. Algunos de los ataques más comunes son: las inyecciones SQL (SQL injection), las NoSQL, cross-site scripting (XSS), el mapeo relacional de objetos (OMR por sus siglas en inglés), entre otros.

También conocidos como injection attacks, suceden principalmente porque la entrada de datos realizada por el usuario no ha sido sanitizada  y filtrada apropiadamente.

4. Diseño inseguro

En cualquier programa o software que es desarrollado, existe la posibilidad de que aparezcan vulnerabilidades. A grandes rasgos, pueden ser de dos tipos: de diseño inseguro o de implementación insegura. 

Cuando se habla de un diseño inseguro se refiere a esas vulnerabilidades que pueden existir debido al diseño o concepción del software inicialmente. 

Esto puede ser debido, por ejemplo, a que los desarrolladores no han determinado apropiadamente cuál es el nivel de riesgo inherente al programa o la empresa, y consecuentemente, no han diseñado un software idóneo para esto. Un diseño inseguro no puede ser arreglado por una implementación perfecta.

5. Malas configuraciones de seguridad

Esta es otra de las vulnerabilidades comunes que pueden poner en riesgo a las aplicaciones web. Son diversas las configuraciones de seguridad que puede tener un programa, y hay que ser cuidadoso con cada una de ellas.

Algunos problemas frecuentes son: características innecesarias como puertos, páginas o accesos y privilegios están habilitados o instalados; permisos de servicios en la nube que están indebidamente configurados; configuraciones de seguridad en librerías, bases de datos y otros, que no están colocados en el nivel de seguridad apropiado, entre otros.  

6. Componentes desactualizados o vulnerables

Cuando se desarrolla una aplicación, esta puede llevar muchos componentes o programas en su arquitectura, y dichos componentes  pueden estar desactualizados o ser componentes vulnerables.

El sistema podría estar en riesgo si: no se conocen todas las versiones de los componentes que se usan, los desarrolladores no prueban la compatibilidad con el sistema cuando se aplica una actualización o no se escanea regularmente para encontrar vulnerabilidades.

7. Fallas de identificación y autenticación

La identificación y autenticación de un usuario es de suma importancia cuando hablamos de aplicaciones web. Existen diversos ciberataques que tienen como entrada una débil identificación y autenticación.

La aplicación podría ser vulnerable si: permite que el usuario utilice contraseñas débiles, no cuenta con la autenticación de dos pasos, se guardan las contraseñas de manera poco segura o expone identificadores de sesión en el URL.

8. Fallas de software e integridad de datos

Esto se refiere a problemas en la integridad del software y los datos, lo que podría permitir a los atacantes manipular o corromper información confidencial.

Por ejemplo, un atacante podría manipular una aplicación para cambiar el valor de una transacción financiera.

9. Fallas de monitoreo y registros

Otro de los problemas comunes que podemos encontrar es la falta de monitoreo, y el inadecuado registro de los distintos cambios o acciones que suceden en el sistema.

Algunas de estas fallas incluyen: los registros son guardados solo de manera local, el monitoreo de la aplicación es escaso o ninguno, los inicio de sesión fallidos no son registrados, los registros de las APIs no son monitoreados para actividad sospechosa, entre otros.

10. Falsificación de solicitudes del lado del servidor

La falsificación de solicitudes del lado del servidor ocurren cuando una aplicación web está tratando de extraer información remota, sin haber validado previamente el URL del usuario.

Esto le permite a un atacante realizar una petición personalizada a través de la aplicación a un destino inesperado. Muchas aplicaciones web de hoy en día utilizan ciertos servicios que hacen que este tipo de problemas sean posibles.

Otras vulnerabilidades comunes

A pesar de no encontrarse en el top 10 de OWASP, estos son otros riesgos comunes a los que se enfrentan las aplicaciones web, los cuales también podrían afectar al sistema. 

Vulnerabilidades de día cero (Zero Day)

Las vulnerabilidades del día cero se refieren a esas vulnerabilidades que existen desde la creación de la aplicación web. Son causadas usualmente por algo que han pasado por alto los desarrolladores. 

Cuando son descubiertas, generalmente suelen ser reparadas rápidamente, por lo que los cibercriminales tratan de usarlas lo máximo posible antes de que sean descubiertas.

Ataques DDoS

Los ataques DoS (denegación de servicio) y los ataques DDoS (denegación de servicio distribuido) consisten en sobrecargar los servidores de la aplicación mediante un exceso de tráfico. Una aplicación web que no esté bien configurada, puede ser vulnerable a este tipo de ataques. 

Ataques de fuerza bruta

Los ataques de fuerza bruta, son aquellos que utilizan el poder computacional para típicamente tratar de desencriptar algunos datos. Si la aplicación web no cuenta con un sistema apropiado de encriptación, esta se podría encontrar vulnerable bajo este tipo de ataques.

Ingeniería social

Existe otro tipo de vulnerabilidades que no tiene que ver precisamente con software, sino con el componente humano. Los cibercriminales han desarrollado técnicas de ingeniería social para manipular a usuarios y desarrolladores, para así obtener accesos indebidos. El tipo más común de ataques que utilizan la ingeniería social se conoce como phishing.

Conocer cómo funcionan estos ataques, permite tener en cuenta puntos vulnerables durante el desarrollo de las aplicaciones web. Además, permite saber qué pruebas de seguridad pudiesen ser realizadas. 

Las pruebas de seguridad, o application security testing, son una herramienta valiosa a la hora de evaluar cuáles pueden ser las posibles vulnerabilidades de una aplicación web, y existen diversos tipos de pruebas que ayudan a identificarlas.

Algunas de estas pruebas son: las pruebas de seguridad de aplicación dinámica (DAST, por sus siglas en inglés), las pruebas de seguridad de aplicación estática (SAST), la autoprotección de aplicaciones en tiempo de ejecución (RASP) y las pruebas de penetración o pentest web.

Dichas pruebas son un tipo de hackeo ético en donde se trata de acceder al sistema buscando vulnerabilidades. Estas se clasifican de acuerdo al tipo de conocimiento y acceso que se le da a la persona que realiza la prueba.

Existen 3 tipos de pruebas de penetración: las de caja negra, de caja gris, y de caja blanca. Te explicamos cada uno:

Caja Negra (Black Box Attack)

En este tipo de ataques de prueba, al hacker ético no se le da ningún tipo de acceso privilegiado, o información sobre la arquitectura del sistema. Este tiene una perspectiva externa, y su trabajo es encontrar vulnerabilidades que pueden ser explotadas desde afuera.

Esta prueba es probablemente la mejor simulación de un ataque real, ya que muchas veces los cibercriminales no conocen a fondo la arquitectura del sistema que están atacando.

Caja Gris (Grey Box Attack)

En los ataques de prueba de caja gris, el hacker ético posee un poco más de información en comparación con los ataques de caja negra. Aquí, puede tener acceso y conocimiento a nivel de usuario de la aplicación, e incluso podría tener algunos privilegios más avanzados en el sistema.

Además, el hacker ético podría conocer la documentación de la arquitectura o tener cierta información sobre el funcionamiento del sistema. Esta prueba permite saber el potencial daño que podría hacer un cibercriminal con acceso privilegiado.

Caja Blanca (White Box Attack)

Los ataques de caja blanca, también conocida a veces como caja abierta, son ataques en donde el hacker ético tiene acceso completo a la documentación, e incluso al código fuente del sistema. Es el tipo de prueba más larga y compleja, ya que se debe analizar en completitud a todo el sistema, pero, a su vez, es la más valiosa para la empresa.

Estas pruebas permiten conocer el origen de las vulnerabilidades, lo cual a su vez facilita la implementación de correcciones tempranas para disminuir los posibles incidentes futuros.

Estas pruebas permiten conocer el origen de las vulnerabilidades, lo cual facilita la implementación de correcciones tempranas para disminuir los incidentes. Si te interesa mejorar la web security de tu negocio o empresa con estas pruebas, desde Delta Project podemos ayudarte con nuestro servicio de pentesting.

De igual forma, hay otras estrategias que puedes aplicar para fortalecer la ciberseguridad de tus plataformas o aplicaciones. Te las compartimos a continuación.

La seguridad de aplicaciones web es una disciplina que cambia en la medida en que surgen nuevas vulnerabilidades y riesgos. Sin embargo, hay algunas estrategias que podrían plantearse, dependiendo de las necesidades de cada tipo de empresa.

Validación de las entradas de usuario

Una de las estrategias más importantes a la hora de proteger las aplicaciones, es la validación de las entradas por parte del usuario. 

Esto se refiere al hecho de que, cuando un usuario va a ingresar algunos datos a la plataforma (como por ejemplo el nombre de usuario), esta información sea validada como datos normales, y no permita el uso de caracteres especiales que puedan funcionar para la inserción de un código en el sistema.

Esto es particularmente importante, ya que muchos ataques, como por ejemplo las inyecciones SQL, NoSQL, entre otros, se hacen posible cuando no hay una buena validación de datos, y esto les permite a los cibercriminales inyectar código malicioso al sistema.

Encriptación de datos sensibles

Otra estrategia fundamental a la hora de proteger la información sensible, o sensitive data, (como los datos personales de los usuarios, o la información de una empresa), es utilizar la encriptación.

Un programador debe analizar primero cuál es la información que existe en la aplicación que debe ser protegida. Luego debe utilizar un método de encriptación realmente seguro, como por ejemplo RSA 2048, lo cual asegura que los datos se encuentren realmente protegidos.

Uso de firewalls de aplicaciones web (WAF)

El uso de firewalls de aplicaciones web (conocidas en inglés como WAF, Web Application Firewalls) es otra herramienta esencial para mantenerse protegido de algunas posibles vulnerabilidades.

Estos firewalls protegen tanto a nivel de software como a nivel de hardware. Están diseñados esencialmente para analizar cuidadosamente el tráfico de entrada y bloquear cualquier intento de ataque externo dirigido al sistema.

Manejo de la autenticación y autorización

Para mantener la aplicación web segura, también es importante tener un manejo adecuado de la autenticación y autorización, ya que esto puede prevenir el acceso no deseado de un cibercriminal.

Existen estrategias como: hacer que los usuarios utilicen contraseñas fuertes, ofrecer la opción de autenticación de dos pasos o controles especiales para el acceso a través de dispositivos no reconocidos. Todas estas prácticas le dificultan al atacante tener acceso indeseado a la aplicación. 

Como hemos visto, la seguridad de las aplicaciones web es importante, ya que existen cada vez más riesgos digitales, los cuales podrían comprometer a la aplicación o web page de una u otra manera. Sin embargo, siempre se pueden realizar distintas acciones y medidas para mitigar todas estas debilidades.

En Delta Protect simplificamos la ciberseguridad y el cumplimiento de tu empresa.  Si quieres saber cómo podemos ayudarte a mejorar la seguridad de tus aplicaciones web, agenda un demo de Apolo con nuestros expertos.