Tema 15: Seguridad en aplicaciones web: OWASP

Amenazas y vulnerabilidades

La seguridad de los sistemas de información se articula sobre un conjunto de conceptos que conviene delimitar con precisión, porque son la base tanto del análisis de riesgos como de la respuesta ante incidentes.

Conceptos fundamentales

• Activo: componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización.

• Amenaza: causa que, en potencia de un incidente, puede generar daños a un sistema de información o a una organización.

• Vulnerabilidad: aspecto que influye negativamente en un activo y que posibilita la materialización de una amenaza. En el ámbito web se identifica con debilidades explotables del software.

• Riesgo: estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios.

• Ataque: evento, exitoso o no, que atenta sobre el buen funcionamiento del sistema. (Nótese que un ataque no es lo mismo que una amenaza: la amenaza es la causa potencial, mientras que el ataque es el evento en sí.)

• Control (salvaguarda): acción, dispositivo o procedimiento que elimina o reduce una vulnerabilidad.

Las dimensiones de seguridad clásicas son confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Cada dimensión se ve degradada por tipos concretos de amenaza: por ejemplo, la disponibilidad se ve afectada por la interrupción.

Análisis de riesgos y MAGERIT

El análisis de riesgos es la utilización sistemática de la información disponible para identificar peligros y estimar los riesgos. Sus actividades esenciales son identificar los activos de información y evaluar amenazas y vulnerabilidades. No forma parte del análisis de riesgos, en cambio, una medida operativa como "mantener el antivirus actualizado" (eso es una salvaguarda, no una fase del análisis).

MAGERIT (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información) es la metodología desarrollada por el Consejo Superior de Administración Electrónica, orientada a las Administraciones Públicas. La herramienta PILAR (Entorno de Análisis de Riesgos, EAR) del CCN soporta el análisis siguiendo MAGERIT de forma automatizada.

Herramientas del CCN-CERT

El CCN-CERT dispone de una familia de herramientas con nombres femeninos:

Malware y códigos maliciosos

• Rootkit: conjunto de herramientas maliciosas diseñadas para otorgar acceso y control encubierto (total) sobre un sistema. Los rootkits de hardware o firmware afectan directamente a la parte física / al software que da instrucciones de máquina a los componentes. Su presencia se manifiesta en cambios no autorizados en las configuraciones de Windows. Un ejemplo famoso es Stuxnet. Entre las técnicas habituales de instalación NO figuran los ataques de phreaking; la medida preventiva más eficaz es mantener el software actualizado.

• Ransomware: código malicioso que secuestra datos: el atacante cifra la información de la víctima y exige un pago (rescate) a cambio de la clave de descifrado.

• EMOTET: software malicioso que infecta los ordenadores y permite ejecutar acciones como el robo de información o la instalación de malware adicional.

• Cryptojacking: uso no detectado de un dispositivo informático ajeno para extraer (minar) monedas digitales.

• Hoax: mensaje falso e inofensivo, normalmente distribuido por correo electrónico, que alerta de un problema informático inexistente para causar, mediante una serie de instrucciones, problemas en el sistema.

• Virus de acción directa: virus que no se mantienen en memoria, cuyo objetivo prioritario es reproducirse y actuar en el mismo momento de ser ejecutados.

Amenazas sobre el puesto de usuario y la red

• Phreaker: persona que intenta usar o abusar del teléfono ajeno a su antojo.

• Spoofing: uso de técnicas de suplantación de identidad, generalmente con fines maliciosos.

• Pharming: explotación de una vulnerabilidad en los servidores DNS o en los equipos del usuario (fichero hosts o caché DNS) que altera la resolución de nombres para redirigir al usuario a una página web falsa, aunque escriba la dirección correcta.

• Clickjacking: un usuario malicioso secuestra las pulsaciones de ratón dirigidas a un sitio aparentemente inocente y las redirige a otro sitio, engañando a los usuarios.

• DoS (Denegación de Servicio): su impacto principal es hacer que un servicio o recurso sea inaccesible para los usuarios legítimos, saturando los puertos con múltiples flujos de información.

• DDoS (distribuido): se lleva a cabo generando un gran flujo de información desde varios puntos de conexión. Una técnica avanzada es el ataque de inundación SYN, que aprovecha el protocolo TCP enviando numerosas solicitudes SYN sin completar el saludo a tres vías (three-way handshake), agotando los recursos del servidor.

• Barrido (escaneo) de puertos: ataque que trata de obtener información básica sobre qué servicios ofrece un sistema y otros detalles técnicos.

Vulnerabilidades web

• SQL injection: ejecución de un comando malicioso de acceso o modificación de una base de datos como parte de una petición.

• CSRF (Cross Site Request/Reference Forgery): el atacante se hace pasar por cliente legítimo utilizando datos parciales del mismo.

• Insecure Deserialization: vulnerabilidad de deserialización insegura; se reduce significativamente empleando métodos no lingüísticos para la deserialización como JSON, XML o YAML (no permite "acceder y manipular BBDD", eso sería inyección).

Medidas de protección y herramientas de detección

• Firewall (cortafuegos): barrera de seguridad situada entre una red interna y una externa (Internet) para controlar y filtrar el tráfico. El firewall de hardware está integrado en un dispositivo físico; el de software se instala en un sistema operativo.

• Bastion host: servidor especialmente configurado y fortificado, con configuración mínima, que reduce la superficie de ataque y controla el acceso a otros recursos internos.

• NIDS: dispositivo para la detección de intrusiones en la red, colocado en lugares clave para controlar el flujo de datos.

• SIEM: sistema que recopila y analiza datos de seguridad de toda la infraestructura de TI.

• Detección heurística: identifica malware por su comportamiento sospechoso y sus características, no por firma.

• Snort: herramienta de detección de intrusiones cuyo propósito principal es el análisis del tráfico de red en tiempo real y el registro/captura de paquetes.

• Suricata: Sistema de Detección y Prevención de Intrusiones de red (IDPS) de alto rendimiento y código abierto (desarrollado por la OISF). Es compatible con IPv6; opera en dos modos, pasivo (observa y analiza el tráfico sin intervenir en la entrega de datos) y activo (ejecuta acciones correctivas automáticas ante amenazas, prevención en línea). Ofrece análisis de protocolos, inspección de contenido y captura de archivos, analizando la carga útil de los paquetes.

• Security Onion: distribución basada en Linux para la supervisión de la seguridad de red y la gestión de logs.

• Open Source Tripwire: especializada en la detección de cambios en los objetos del sistema de archivos (integridad).

• IronPort / Sophos: soluciones de protección de sistemas de correo electrónico.

• NVD (National Vulnerability Database): base de datos de vulnerabilidades.

• IBM AppScan: herramienta para la realización de pruebas de seguridad.

El objetivo de una auditoría de seguridad es identificar debilidades, vulnerabilidades y riesgos en los sistemas y redes informáticas.

Fuentes

• CCN-CERT, Soluciones de seguridad (LUCIA, CLARA, MARTA, REYES, PILAR): https://www.ccn-cert.cni.es/es/soluciones-seguridad.html

• CCN-CERT, herramienta CLARA (auditoría ENS/STIC): https://www.ccn-cert.cni.es/es/soluciones-seguridad/clara.html

• CCN-CERT, LUCIA (gestión de ciberincidentes): https://www.ccn-cert.cni.es/es/soluciones-seguridad/lucia.html

• MAGERIT v3.0, Libro I - Método (CCN/Consejo Superior de Administración Electrónica): https://www.ccn-cert.cni.es/documentos-publicos/1789-magerit-libro-i-metodo/file.html

• OISF, proyecto Suricata (IDS/IPS/NSM, IPv6, análisis de protocolos): https://suricata.io/ y https://github.com/OISF/suricata

• OWASP (referencia de vulnerabilidades web: SQL Injection, CSRF, Insecure Deserialization): https://owasp.org/www-project-top-ten/