Seguridad de la aplicación

La seguridad de las aplicaciones ( AppSec ) incluye todas las tareas que introducen un ciclo de vida de desarrollo de software seguro en los equipos de desarrollo. Su objetivo final es mejorar las prácticas de seguridad y, a través de ello, encontrar, corregir y, preferiblemente, prevenir problemas de seguridad en las aplicaciones. Abarca todo el ciclo de vida de la aplicación, desde el análisis de requisitos, el diseño, la implementación y la verificación, hasta el mantenimiento. ^{[ 1 ]}

La seguridad de las aplicaciones web es una rama de la seguridad de la información que se ocupa específicamente de la seguridad de sitios web , aplicaciones web y servicios web . En términos generales, la seguridad de las aplicaciones web se basa en los principios de la seguridad de las aplicaciones, pero los aplica específicamente a Internet y a los sistemas web . ^{[ 2 ] [ 3 ]} La seguridad de las aplicaciones también se centra en las aplicaciones móviles y su seguridad, incluidas las aplicaciones de iOS y Android.

Las herramientas de seguridad para aplicaciones web son herramientas especializadas para trabajar con tráfico HTTP, por ejemplo, los firewalls para aplicaciones web .

Los distintos enfoques permiten identificar diferentes subconjuntos de vulnerabilidades de seguridad latentes en una aplicación, y su eficacia varía según la etapa del ciclo de vida del software. Cada uno implica diferentes compensaciones en cuanto a tiempo, esfuerzo, coste y vulnerabilidades detectadas.

• Revisión del diseño . Antes de escribir el código, se puede revisar la arquitectura y el diseño de la aplicación para detectar problemas de seguridad. Una técnica común en esta fase es la creación de un modelo de amenazas .
• Pruebas de caja blanca o revisión de código . Examen crítico de la estructura interna, la arquitectura, el diseño, etc.
• Pruebas de caja negra . Prueba la funcionalidad en lugar de la estructura interna.
• Herramientas automatizadas. Muchas herramientas de seguridad pueden automatizarse integrándolas en el entorno de desarrollo o de pruebas. Un ejemplo de ello son las herramientas DAST/SAST automatizadas integradas en editores de código o plataformas de CI/CD.
• Plataformas coordinadas de detección de vulnerabilidades . Se trata de soluciones de seguridad de aplicaciones impulsadas por hackers, ofrecidas por numerosos sitios web y desarrolladores de software, mediante las cuales las personas pueden recibir reconocimiento y compensación por reportar errores.

El Proyecto Abierto Mundial de Seguridad de Aplicaciones ( OWASP ) proporciona recursos gratuitos y abiertos. Está dirigido por una organización sin fines de lucro llamada Fundación OWASP. El OWASP Top 10 - 2017 es el resultado de una investigación reciente basada en datos exhaustivos recopilados de más de 40 organizaciones asociadas. Estos datos revelaron aproximadamente 2,3 millones de vulnerabilidades en más de 50 000 aplicaciones. ^{[ 4 ]} Según el OWASP Top 10 - 2021, los diez riesgos de seguridad más críticos para las aplicaciones web incluyen: ^{[ 5 ] [ 6 ]}

1. Control de acceso defectuoso
2. fallos criptográficos
3. Inyección
4. Diseño inseguro
5. configuración de seguridad incorrecta
6. Componentes vulnerables y obsoletos
7. Fallos de identificación y autenticación
8. Fallos en la integridad del software y los datos
9. Fallos en el registro y la monitorización de la seguridad*
10. Falsificación de solicitudes del lado del servidor (SSRF)*

La lista OWASP Top 10 Proactive Controls 2024 es una recopilación de técnicas de seguridad que todo arquitecto y desarrollador de software debería conocer y tener en cuenta.

La lista actual contiene:

1. Implementar el control de acceso
2. Utilice la criptografía de la manera correcta.
3. Validar todos los datos de entrada y gestionar las excepciones.
4. Abordar la seguridad desde el principio
5. Configuraciones seguras por defecto
6. Mantén tus componentes seguros.
7. Implementar identidad digital
8. Utilice las funciones de seguridad del navegador.
9. Implementar el registro y la monitorización de seguridad.
10. Detenga la falsificación de solicitudes del lado del servidor.

Las técnicas de pruebas de seguridad buscan vulnerabilidades o fallos de seguridad en las aplicaciones. Estas vulnerabilidades dejan las aplicaciones expuestas a ataques . Idealmente, las pruebas de seguridad se implementan a lo largo de todo el ciclo de vida del desarrollo de software (SDLC) para que las vulnerabilidades puedan abordarse de manera oportuna y exhaustiva.

Existen muchos tipos de herramientas automatizadas para identificar vulnerabilidades en las aplicaciones. Las categorías de herramientas comunes utilizadas para identificar vulnerabilidades en las aplicaciones incluyen:

• Las pruebas estáticas de seguridad de aplicaciones (SAST) analizan el código fuente en busca de vulnerabilidades de seguridad durante el desarrollo de una aplicación. A diferencia de las pruebas dinámicas de seguridad (DAST), las SAST pueden utilizarse incluso antes de que la aplicación sea ejecutable. Dado que las SAST tienen acceso al código fuente completo, se trata de un enfoque de caja blanca. Esto puede proporcionar resultados más detallados, pero también puede generar muchos falsos positivos que requieren verificación manual.
• Las pruebas dinámicas de seguridad de aplicaciones (DAST, a menudo llamadas escáneres de vulnerabilidades ) detectan automáticamente vulnerabilidades mediante el rastreo y análisis de sitios web. Este método es altamente escalable, fácil de integrar y rápido. Las herramientas DAST son adecuadas para abordar ataques de bajo nivel, como fallos de inyección, pero no son adecuadas para detectar fallos de alto nivel, por ejemplo, fallos de lógica o de lógica de negocio. ^{[ 7 ]} Las herramientas de fuzzing se utilizan comúnmente para pruebas de entrada. ^{[ 8 ]}
• Las investigaciones sobre seguridad de aplicaciones industriales destacan los crecientes riesgos relacionados con las API inseguras, la manipulación del código del lado del cliente y la explotación en tiempo de ejecución, lo que refuerza la importancia de realizar pruebas de seguridad dinámicas y en tiempo de ejecución exhaustivas. ^{[ 9 ]}
• Las pruebas interactivas de seguridad de aplicaciones (IAST) evalúan las aplicaciones desde dentro mediante instrumentación de software. Esto combina las ventajas de los métodos SAST y DAST, además de proporcionar acceso al código, el tráfico HTTP, la información de la biblioteca, las conexiones de backend y la información de configuración. ^{[ 10 ] [ 11 ]} Algunos productos IAST requieren que la aplicación sea atacada, mientras que otros pueden utilizarse durante las pruebas normales de garantía de calidad. ^{[ 12 ] [ 13 ]}
• La autoprotección de aplicaciones en tiempo de ejecución mejora las aplicaciones existentes para proporcionar detección y prevención de intrusiones desde el propio entorno de ejecución de la aplicación.
• Los analizadores de dependencias (también llamados análisis de composición de software ) intentan detectar el uso de componentes de software con vulnerabilidades conocidas. Estas herramientas pueden funcionar bajo demanda, por ejemplo, durante el proceso de compilación del código fuente, o periódicamente.

• Estándar de codificación segura CERT
• ISO/IEC 27034-1:2011 Tecnología de la información — Técnicas de seguridad — Seguridad de las aplicaciones — Parte 1: Descripción general y conceptos
• ISO/IEC TR 24772:2013 Tecnología de la información — Lenguajes de programación — Guía para evitar vulnerabilidades en los lenguajes de programación mediante la selección y el uso del lenguaje
• Publicación especial 800-53 del NIST
• OWASP ASVS: Estándar de verificación de seguridad de aplicaciones web ^{[ 14 ]}

• Enumeración de debilidades comunes
• seguridad de los datos
• Seguridad móvil
• OWASP
• Ciclo de vida de desarrollo de seguridad de Microsoft
• Seguridad utilizable