9. Ataques comunes: OWASP Top 10 Conocer los tipos de ataques más prevalentes puede ayudar a prevenirlos y aumentar los niveles de seguridad. Ataque Descripción Amenaza Mitigaciones Ataques de Inyección La aplicación envía datos sin validar a un sistema que interpreta instrucciones. Como motores SQL, LDAP, NoSQL, Comandos al Sistema Operativo, XML, XMTP, etc. Robo y corrupción de datos. Ataques de denegación de servicio. Puede resultar en compromiso total del equipo. Utilizar Interfaces parametrizadas. Escapar caracteres peligrosos. Filtrar entradas por “listablanca”. Autenticación o Control de Sesión Incorrecto Comun en módulos de autenticación y sesión desarrollados desde cero. Estos pueden contener múltiples errores de implementación y diseño. (Funciones de Logout, creación de cuentas, cambio contraseñas, olvidó su contraseña, timeouts, recordarme, pregunta secreta). Ataques sobre cuentas de usuario. Las cuentas con privilegios elevados suelen ser atacadas. Utilizar un módulo de autenticación y control de sesión fuerte y sin vulnerabilidades conocidas. Revisar detenidamente el diseño y la implementación de estos controles. XSS: Cross Site Scripting Ocurre cuando se genera una página incluyendo datos controlados por un atacante que no fueron correctamente filtrados. Los datos pueden ser almacenados en el servidor o reflejados de algún parámetro o Cabeceras HTTP. Ejecución de scripts arbitrarios en el navegador de los usuarios. Posibilitando robo de sesiones, ataques phishing, modificaciones de contenido, descarga malware y “browser hijackers”. Filtrar los datos correctamente, en base al contexto en que serán presentados. Utilizar librerías de sanitización de inputs reconocidas. Medida adicional (pero insuficiente) es la utilización de Content Security Policy. Mecanismo de Control de Acceso Incorrecto Mecanismo de Control de Acceso Incorrecto Las aplicaciones y las APIs muchas veces usan el nombre o código de un objeto para generar páginas. Estos códigos y nombres pueden ser fáciles de adivinar. Las aplicaciones o las APIs no siempre verifican que el usuario esté autorizado para acceder al recurso solicitado. Comprometer la toda la funcionalidad o datos accesibles. Robo de datos y abuso de servicio. Verificar permisos de acceso para cada solicitud. Se puede generar códigos de acceso a recurso individuales para cada sesión de usuario. Mala Configuración de Seguridad Puede ocurrir en cualquier capa del stack: sistema operativo, plataforma, servicio web, servicio de aplicación, base de datos, frameworks y código personalizado. Acceso no autorizado a algunos datos y funcionalidades del sistema. Puede resultar en compromiso total del sistema Proceso de Hardenizado repetible que garantice cierto aseguramiento del ambiente. Los entornos de Desarrollo, QA y producción deben configurarse en forma idéntica (con contraseñas distintas para cada uno). Proceso de seguimiento e instalación de actualizaciones y parches para TODOS los componentes. Arquitectura de la aplicación segura, segregación de funciones efectiva. Verificación automatizada de config. IF-2021-76718462-APN-DNCIB#JGM Página 21 de 35