Vulnerabilidades en aplicaciones: cómo evitar fallas de código y riesgos de seguridad

¿Qué es una vulnerabilidad en una aplicación?

El costo promedio de una filtración de datos en 2020 fue de 3,86 millones de dólares, y un sorprendente 82 % de las vulnerabilidades conocidas se encontraba en el código de las aplicaciones. Las prácticas recomendadas de programación segura, junto con las soluciones de seguridad de aplicaciones, pueden ayudar a mitigar el riesgo de que haya vulnerabilidades en el código de tu aplicación.

Seguridad del software frente a seguridad de las aplicaciones

La seguridad del software se ocupa de proteger la lógica programática fundamental del software subyacente. A diferencia de la seguridad de las aplicaciones, se enfoca en las primeras etapas del ciclo de vida del desarrollo de software (SDLC) y en el código subyacente de una aplicación.

Cuando el software se convierte en un artefacto listo para implementarse, como un archivo JAR o una imagen de contenedor, entra en el ámbito de la seguridad de las aplicaciones. En estas etapas del SDLC, el enfoque abarca mucho más que el software: incluye diversos sistemas interconectados, infraestructura y rutas de red que intervienen para llevar el software a producción. Por lo general, el personal enfocado en las operaciones, como los ingenieros de DevOps, asume un papel más activo en la protección de la aplicación.

Invertir en las primeras etapas del SDLC da buenos resultados en las iniciativas de seguridad de las aplicaciones. Es mucho más fácil proteger una aplicación que tiene menos defectos y vulnerabilidades. Las vulnerabilidades en el código ponen a los equipos de operaciones y a los ingenieros de seguridad a la defensiva, en lugar de permitirles abordar estos problemas de forma proactiva desde el principio.

La importancia de la seguridad de las aplicaciones

La seguridad de las aplicaciones requiere un enfoque proactivo en cada ciclo de compilación y lanzamiento, y suele depender de la automatización para identificar amenazas. Los ingenieros de DevOps suelen aplicar las prácticas recomendadas de seguridad de aplicaciones mediante distintas herramientas y métodos en cada etapa del ciclo de compilación, prueba y lanzamiento.

A medida que los procesos de CI/CD se vuelven más comunes en las organizaciones, aumenta la demanda de soluciones de seguridad de aplicaciones. De hecho, el informe Estado de la seguridad de las aplicaciones nativas de la nube de 2021 muestra cómo la adopción de tecnologías nativas de la nube cambia la forma en que las organizaciones se defienden de las vulnerabilidades de seguridad de las aplicaciones. Se determinó que las configuraciones incorrectas y las vulnerabilidades de seguridad conocidas sin parches eran responsables de la mayor cantidad de incidentes de seguridad. Todos estos problemas pueden evitarse con una estrategia adecuada de seguridad de aplicaciones.

Por suerte, las herramientas de seguridad de aplicaciones pueden buscar vulnerabilidades conocidas y clasificar los resultados, reduciendo la dependencia del trabajo manual de los desarrolladores. También pueden identificar tendencias y patrones, y ayudar a los desarrolladores a detectar errores en el código durante las fases de compilación y lanzamiento del SDLC.

Ante la aparición constante de nuevas vulnerabilidades y el tiempo considerable que requieren las revisiones manuales de código y otros métodos de prueba tradicionales, las herramientas de seguridad automatizadas pueden ofrecer numerosas ventajas.

Las 10 principales vulnerabilidades de las aplicaciones

Comprender la lista de las 10 principales vulnerabilidades de OWASP puede ayudar a los equipos de desarrollo a mitigar el riesgo de vulnerabilidades en las aplicaciones. La lista más reciente de las 10 principales vulnerabilidades de OWASP se publicó en 2021.

Las 10 principales vulnerabilidades de aplicaciones de la lista de 2017 son las siguientes:

1. Inyección: Las vulnerabilidades de inyección pueden producirse cuando se utiliza una consulta o un comando para insertar datos no confiables en un intérprete mediante una inyección de SQL, del sistema operativo, NoSQL o LDAP. Los datos maliciosos introducidos mediante este vector de ataque engañan al intérprete para que haga que la aplicación realice acciones para las que no fue diseñada.

2. Autenticación deficiente: Cuando las aplicaciones ejecutan incorrectamente funciones relacionadas con la administración de sesiones o la autenticación de usuarios, los intrusos pueden poner en riesgo contraseñas, claves de seguridad o tokens de sesión y asumir temporal o permanentemente la identidad y los permisos de otros usuarios.

3. Exposición de datos confidenciales: Sin medidas esenciales de protección de datos, como el cifrado de los datos en tránsito o en reposo, los atacantes pueden ver, robar o modificar datos confidenciales o información de identificación personal (PII), como credenciales, números de tarjetas de crédito o de seguridad social e información médica. Los datos sin cifrar son un objetivo prioritario para ataques dañinos relacionados con el robo de identidad, el fraude y el espionaje industrial, por mencionar solo algunos ejemplos de vulnerabilidades de seguridad.

4. Entidades externas XML (XXE): En las aplicaciones web que analizan entradas XML, se puede engañar a un analizador XML mal configurado para que envíe datos confidenciales a una entidad externa no autorizada, es decir, a una unidad de almacenamiento como un disco duro. Los hackers utilizan los ataques XXE para observar información crítica, divulgar archivos internos y recursos compartidos, escanear puertos internos, ejecutar código de forma remota y llevar a cabo ataques de denegación de servicio (DoS).

5. Control de acceso deficiente: Un control de acceso deficiente puede dar a los visitantes de un sitio web acceso a paneles de administración, servidores, bases de datos y otras aplicaciones críticas para el negocio. Esta amenaza de las 10 principales de OWASP podría usarse para redirigir navegadores a otras URL objetivo.

6. Configuraciones de seguridad incorrectas: Según Gartner, hasta el 95 % de las brechas de seguridad en la nube se deben a errores humanos. Las configuraciones incorrectas de los ajustes de seguridad son uno de los principales factores detrás de esa cifra. De las 10 principales vulnerabilidades de OWASP, esta es la más común.

7. Secuencias de comandos entre sitios (XSS): Las secuencias de comandos entre sitios son una vulnerabilidad generalizada que afecta a más de la mitad de todas las aplicaciones web. Se producen cuando se inyectan scripts maliciosos de JavaScript o HTML del lado del cliente en una página web y luego se utiliza la aplicación web como vector de ataque para secuestrar sesiones de usuario, alterar sitios web o redirigir a la víctima a sitios controlados por el atacante.

8. Deserialización insegura: La deserialización insegura ofrece a los hackers un vector de ataque que se usa principalmente para ejecutar código de forma remota, pero también puede servir para realizar ataques de inyección, de repetición y que aprovechan la escalada de privilegios.

9. Uso de componentes con vulnerabilidades conocidas: Las aplicaciones web distribuidas modernas incorporan componentes de código abierto, como bibliotecas y frameworks. Cualquier componente con una vulnerabilidad conocida se convierte en un eslabón débil que puede afectar la seguridad de toda la aplicación.

10. Registro y monitoreo insuficientes: El tiempo entre un ataque y su detección puede ser de hasta 200 días, o incluso más. Este lapso les da a los ciberdelincuentes tiempo de sobra para manipular servidores, dañar bases de datos, robar información confidencial e instalar código malicioso si no se cuenta con un registro y monitoreo adecuados.

Herramientas de seguridad para las vulnerabilidades de aplicaciones

Aunque siempre se busca programar de forma segura, alguna vulnerabilidad en el código siempre puede pasar inadvertida. Ahí es donde entran en juego herramientas como las pruebas estáticas de seguridad de aplicaciones (SAST) y las pruebas dinámicas de seguridad de aplicaciones (DAST). Quizás te preguntes cuáles son las diferencias entre SAST y DAST o cómo combinar ambas. Estas dos soluciones utilizan pruebas automatizadas para encontrar los puntos débiles del código fuente que, tarde o temprano, los actores maliciosos intentarán encontrar y explotar.

• Pruebas estáticas de seguridad de aplicaciones (SAST): SAST es un método de pruebas estructurales que evalúa una amplia variedad de entradas estáticas, como la documentación y el código fuente de las aplicaciones. Las herramientas SAST analizan el código fuente y sus dependencias. Durante el análisis, la herramienta utiliza reglas predefinidas para detectar problemas y vulnerabilidades e indicar su ubicación exacta.

• Pruebas dinámicas de seguridad de aplicaciones (DAST): DAST es el método opuesto a SAST: se trata de pruebas de caja negra que se realizan mientras la aplicación está en ejecución. Estas herramientas suponen que quienes hacen las pruebas no tienen conocimientos detallados sobre el funcionamiento interno del sistema. Las herramientas DAST analizan el código en ejecución para identificar problemas en solicitudes, respuestas, interfaces, scripts, inyecciones, autenticación y sesiones, mediante una técnica llamada fuzzing.

La mejor solución es combinar SAST y DAST con otros enfoques de seguridad de aplicaciones, entre ellos:

• Análisis de composición de software (SCA): También conocido como análisis de origen, este método ayuda a analizar todos los componentes y bibliotecas de software de código abierto. Estas herramientas pueden detectar licencias de software, dependencias obsoletas y vulnerabilidades conocidas, y notificar al usuario sobre los parches o las actualizaciones disponibles.

Lee más sobre SAST y SCA y cómo aprovecharlos para lanzar software seguro.

• Pruebas interactivas de seguridad de aplicaciones (IAST): Estas herramientas combinan enfoques estáticos y dinámicos para probar aplicaciones y flujos de datos mediante casos de prueba predefinidos. Según los resultados, la herramienta a veces recomienda otros casos de prueba.

• Pruebas de seguridad de aplicaciones como servicio (ASTaaS): Consiste en contratar a una empresa externa para realizar todas las pruebas de aplicaciones. ASTaaS suele combinar métodos de seguridad estáticos y dinámicos, incluidas las pruebas de penetración y la evaluación de API.

Cómo evitar las vulnerabilidades de seguridad en las aplicaciones

Una estrategia eficaz de DevSecOps puede ayudar a mitigar el riesgo de vulnerabilidades en las aplicaciones. Lo ideal es que los desarrolladores puedan integrar la seguridad en los flujos de trabajo de desarrollo existentes sin fricciones y con el apoyo del equipo de seguridad. El uso de herramientas de seguridad automatizadas puede reducir la carga de los desarrolladores y evitar que las vulnerabilidades del código pasen inadvertidas.