Esta vulnerabilidad puede ocurrir cuando los programadores no implementan correctamente las reglas de lógica de negocio, lo que podría dejar sus aplicaciones expuestas a diversos tipos de ataques si un usuario malintencionado decide aprovecharlas.

Si algo podía arruinar la Navidad en el sector de la ciberseguridad, es una devastadora brecha de datos que va camino de convertirse en el mayor evento de ciberespionaje contra el gobierno de EE. UU. del que se tiene registro.

Una vez más, la causa raíz del hackeo a Equifax es una vulnerabilidad en una aplicación web. Este tipo de vulnerabilidades existen desde hace más de una década, pero siguen siendo muy relevantes hoy en día.

Los ataques de inyección, el infame rey de las vulnerabilidades (por categoría), han perdido el primer puesto frente al control de acceso roto como lo peor de lo peor, y los desarrolladores deben tomar nota.

Episodio 139: Matias Madou habla sobre formación en desarrollo seguro e investigación en pruebas de seguridad de software

Por lo general, se deben incluir comprobaciones de autorización a nivel de objeto en cada función que acceda a una fuente de datos mediante una entrada del usuario; no hacerlo conlleva un gran riesgo.

Un curso seleccionado que contenga los módulos exactos en los que sus desarrolladores necesitan demostrar competencia tendrá un impacto potente y les permitirá empezar a trabajar con eficacia en lo que respecta a las mejores prácticas de seguridad en su día a día.

Casi 300 000 desarrolladores en aproximadamente 95 000 aplicaciones utilizan BSIMM8 para ayudar a planificar, ejecutar y medir sus iniciativas de seguridad de software (SSI).

Trasladar las correcciones de seguridad al proceso de desarrollo no es sencillo, pero es necesario en el mundo actual, donde incluso dispositivos aparentemente simples, como las herramientas de presentación, son sorprendentemente complejos y están conectados a todo lo demás.

Debemos llegar a un punto en el que la seguridad se considere una responsabilidad compartida en toda la organización y a lo largo de todo el ciclo de vida de desarrollo de software (SDLC). Esto es totalmente posible cuando se apuesta por un entorno DevSecOps completo y de gran apoyo.

La vulnerabilidad de control de acceso a nivel de función faltante permite a los usuarios realizar funciones que deberían estar restringidas o acceder a recursos que deberían estar protegidos.

La autenticación suele actuar como puerta de entrada tanto a una aplicación como, potencialmente, al resto de una red, por lo que son objetivos tentadores para los atacantes. Si un proceso de autenticación está roto o es vulnerable, hay muchas probabilidades de que los atacantes descubran esa debilidad y la exploten.

Lo único que evitó una explosión fue un error en el código informático de los atacantes, según los investigadores.

El desarrollo de software ya no es una isla y, cuando consideramos todos los aspectos del riesgo derivado del software —desde la nube, los sistemas integrados en electrodomésticos y vehículos, hasta nuestra infraestructura crítica, sin mencionar las API que conectan todo esto—, la superficie de ataque no tiene fronteras y está fuera de control.

Los desarrolladores están en una posición privilegiada para dar un salto lucrativo hacia la seguridad de aplicaciones (AppSec).

Podemos afirmar que los últimos años han transformado los estándares de ciberseguridad y, aunque no sea obligatorio, todas las organizaciones deberían marcarse como objetivo seguir este camino y examinar las prácticas de seguridad de sus proveedores como si fueran parte de su propio programa de seguridad interno.

La vulnerabilidad de asignación masiva surgió debido a que muchos marcos de trabajo modernos animan a los desarrolladores a usar funciones que vinculan automáticamente la entrada de los clientes a variables de código y objetos internos.

Empezamos a pensar en cómo reducir las barreras para acceder a la formación cuando la necesitas y en cómo integrar el microaprendizaje en tu flujo de trabajo de una manera más fluida.

Los desarrolladores no tendrán un impacto positivo en la reducción de vulnerabilidades sin una comprensión fundamental de cómo funcionan estas, por qué son peligrosas, qué patrones las provocan y qué diseños o patrones de codificación las solucionan en un contexto que tenga sentido en su mundo. Un enfoque estructurado permite que las capas de conocimiento ofrezcan una visión completa de lo que significa programar de forma segura, defender una base de código y destacar como un desarrollador consciente de la seguridad.

Por definición, los ataques de día cero no dan tiempo a los desarrolladores para encontrar y corregir las vulnerabilidades existentes que podrían ser explotadas, ya que el atacante se les ha adelantado. El daño ya está hecho y, a partir de ahí, comienza una carrera frenética para reparar tanto el software como la reputación de la empresa. Los atacantes siempre llevan la ventaja, por lo que es crucial reducir esa brecha tanto como sea posible.

Esta es la primera parte de una serie de dos entregas sobre cómo lograr el cumplimiento de PCI-DSS dentro de una organización. En este capítulo, detallamos cómo los especialistas en AppSec pueden colaborar estrechamente con los gerentes de desarrollo para empoderar a los desarrolladores, fortalecer el SSDLC y obtener resultados concretos a partir de la legislación general.

Ya sabemos que la carga de trabajo diaria es excesiva, así que ¿qué incentivo tienen los desarrolladores para desplazarse a un aula o cambiar de contexto para seguir cinco pasos y acceder a una formación teórica estática?

Existen varias razones por las que las herramientas de AppSec no se están utilizando como cabría esperar; el problema no reside tanto en las herramientas ni en su funcionalidad, sino en cómo se integran en el programa de seguridad en su conjunto.

Queremos destacar a uno de nuestros expertos, Oscar Quintas. Forma parte de nuestro equipo de Contenido de Producto como Investigador Senior de Seguridad. Además, es nuestro mago particular en todo lo relacionado con la Infraestructura como Código (IaC).

La inyección SQL cumple 22 años y, aunque esta vulnerabilidad ya tiene edad suficiente para beber, dejamos que nos supere en lugar de eliminarla de una vez por todas.

El terreno de juego entre héroes y villanos en la ciberseguridad es notoriamente injusto. Los datos confidenciales son el nuevo oro, y los atacantes se adaptan rápidamente para eludir las defensas, explotando fallos de seguridad, grandes y pequeños, en busca de un botín potencial.

Esta vulnerabilidad ocurre cuando se reciben demasiadas solicitudes al mismo tiempo y la API no cuenta con suficientes recursos informáticos para procesarlas. Como resultado, la API puede quedar fuera de servicio o dejar de responder a nuevas solicitudes.

Para combatir a los ciberdelincuentes, debemos ir un paso por delante de ellos, anticipándonos a sus movimientos con una mentalidad preventiva. Estas son las áreas donde creo que empezarán a causar problemas el próximo año:

Si el control de acceso a nivel de infraestructura no está perfectamente configurado, toda la empresa queda expuesta a atacantes que pueden utilizar esa vulnerabilidad como puerta de entrada para el espionaje no autorizado o un ataque completo.

Los ciberataques son cada vez más frecuentes y las amenazas que afectan a la infraestructura basada en Linux son más comunes, con el objetivo final de abrir un cofre lleno de datos confidenciales almacenados en la nube.

La mecánica real detrás de esta vulnerabilidad es similar a otras, pero la exposición excesiva de datos, en este caso, se define como aquella que involucra información legalmente protegida o altamente sensible.

Al igual que el software basado en web, las API y los dispositivos móviles, el código vulnerable en los sistemas embebidos puede ser explotado si un atacante lo descubre en el mundo real.

Esta es la segunda parte de una miniserie sobre el cumplimiento de PCI-DSS dentro de una organización. En este capítulo final, detallamos cómo los CTO y CISO pueden liderar desde la dirección para reducir el riesgo cibernético y hacer que el proceso sea fluido, exitoso... y quizás hasta un poco divertido para los desarrolladores.

Teniendo en cuenta su organización, reflexione sobre estas preguntas en el contexto de su función. ¿Cómo le iría si se sometiera a la prueba DevSec?

Existe una teoría muy conocida que dice que las cucarachas pueden sobrevivir a casi cualquier cosa, incluso a una explosión nuclear.

El fallo de registro y monitorización insuficientes suele producirse como resultado de un plan de ciberseguridad deficiente a la hora de registrar todos los intentos fallidos de autenticación, accesos denegados y errores de validación de entrada.

Hoy en día, aplicar hash a datos críticos como contraseñas, información personal y registros financieros cuando están en reposo es un pilar fundamental de cualquier defensa de ciberseguridad.

La reciente Orden Ejecutiva sobre ciberseguridad de la Administración Biden ha dado mucho que hablar en el sector, especialmente entre quienes buscan convencer a los desarrolladores de la importancia de aplicar las mejores prácticas de codificación segura en su trabajo diario.

Debemos reforzar un enfoque de ciberseguridad centrado en las personas; esto dará mejores resultados que depender excesivamente de la automatización, las herramientas y la reacción ante problemas que ya se han arraigado y detectado.

Los desarrolladores son quienes tienen un contacto más directo con el código, además de con las configuraciones de seguridad y el control de acceso. Sus habilidades en seguridad deben fomentarse y, para alcanzar los altos estándares definidos por el NIST, una estructura de curso práctica podría ser la forma más eficiente de lograrlo, especialmente en grupos grandes de desarrollo.

Nos complace anunciar el lanzamiento de una nueva funcionalidad en la plataforma Secure Code Warrior: Missions. Esta categoría de desafíos totalmente nueva representa la siguiente fase en la formación en seguridad orientada a desarrolladores, permitiendo a los usuarios pasar de la simple memorización de conceptos de seguridad a su aplicación en un entorno de simulación del mundo real.

Ya sea que la incomodidad provenga de lo desconocido de una nueva forma de trabajar, de un poco de desconfianza o quizás de no creer en el trabajo remoto, me parece que las empresas que se resisten a él tienden a quedarse atrás en cuanto a atraer al mejor talento, mantener un alcance global y, francamente, adaptarse a los tiempos.

La clave de la mayor parte de la seguridad informática actual reside en las contraseñas. Incluso si se emplean otros métodos de seguridad, como la autenticación de dos factores o la biometría, la mayoría de las organizaciones siguen utilizando la seguridad basada en contraseñas como un elemento de su protección.

El coste de cambiar una línea de código en un equipo de aviónica es de 1 millón de dólares y requiere un año de implementación. Para Southwest Airlines, cuya flota se basa en los Boeing 737, esto los llevaría a la "quiebra".

Un aluvión de herramientas de seguridad complejas está haciendo que la ciberseguridad sea aún más difícil para los CISO.

Secure Code Warrior ha creado una GitHub Action que aporta aprendizaje contextual al escaneo de código de GitHub. Esto significa que los desarrolladores pueden usar una acción de terceros, como Snyk Container Action, para encontrar vulnerabilidades y luego complementar los resultados con aprendizaje hiperrelevante y específico para CWE.

Las pruebas de penetración y las herramientas de análisis estático (más conocidas como SAST) son solo una parte del proceso general para mitigar los riesgos de seguridad y operan de forma bastante independiente a nuestro trabajo, ¡hasta que el código vuelve a nosotros para correcciones urgentes, claro está!

El código de cierto nivel de calidad es, por definición, seguro, pero no todo código seguro es necesariamente de buena calidad. ¿Es empezar "a la izquierda de la izquierda" la fórmula para garantizar estándares de codificación puramente seguros?

El comportamiento que genera vulnerabilidades en el que nos centraremos aquí es el uso de código de fuentes no confiables, una práctica aparentemente inofensiva que está causando grandes problemas.

Ya en 2016, un investigador de seguridad encontró una vulnerabilidad común conocida como cross-site scripting (XSS) en el sitio web principal de Equifax, según un tuit de un investigador que se hace llamar x0rz.

Esta vulnerabilidad es más un problema humano o de gestión que permite que las API antiguas permanezcan activas mucho después de que deberían haber sido reemplazadas por versiones más nuevas y seguras.

Muchas empresas que están logrando grandes resultados en su enfoque de ciberseguridad han implementado un programa oficial de "campeones de seguridad", delegando responsabilidades clave —desde actuar como enlace entre equipos y fomentar el entusiasmo general, hasta supervisar las mejores prácticas— a personas que demuestran aptitud y pasión por este rol.

Rust incorpora elementos conocidos y funcionales de lenguajes de uso común, trabajando bajo una filosofía diferente que elimina la complejidad a la vez que introduce rendimiento y seguridad.

Aunque es un poco más frecuente en las API, los atacantes suelen intentar encontrar fallos sin parchear y archivos o directorios desprotegidos en cualquier parte de una red. Encontrarse con una API que tiene la depuración activada o las funciones de seguridad desactivadas solo facilita su labor malintencionada.

El mundo está empezando a dejar atrás Waterfall, Agile y ahora DevOps, así que, ¿cuál es la siguiente solución? Y como desarrollador, ¿cuál es tu papel para seguir el ritmo de estos cambios de enfoque?

Como industria, nunca debemos esperar que los desarrolladores se conviertan en expertos en seguridad, pero las organizaciones pueden adoptar nuevos estándares para capacitar a sus desarrolladores y así producir software de mayor calidad.

A veces, las aplicaciones también comparten datos con otros programas como parte de una carga de trabajo general. Si la capa de transporte no está protegida, queda vulnerable tanto al espionaje externo como a la visualización interna no autorizada.

Todas las organizaciones pueden aprovechar el Mes de la Concienciación sobre la Ciberseguridad para actualizar sus conocimientos en seguridad, ¡y este año lanzamos además una nueva aplicación gratuita para la comunidad de programadores!

Una relación construida sobre los cimientos inestables de la desconfianza es, bueno, mejor abordarla con expectativas bajas. Lamentablemente, este puede ser el estado de la relación laboral entre los desarrolladores y el equipo de AppSec dentro de una organización.

Las configuraciones de seguridad incorrectas, especialmente las relacionadas con permisos inadecuados, suelen ocurrir cuando un desarrollador crea un nuevo usuario o concede permisos a una aplicación como herramienta para realizar una tarea.

Los atacantes siempre intentarán encontrar primero las vulnerabilidades fáciles de explotar y pueden incluso usar un script para recorrer las debilidades más comunes. Es parecido a un ladrón que revisa todos los coches de una calle para ver si alguna puerta está abierta, lo cual es mucho más fácil que romper una ventana.

Ante la persistente escasez de talento frente al aluvión de código que se escribe para satisfacer las necesidades de software del mundo, muchas empresas se están quedando atrás en su estrategia de ciberseguridad e infraestructura. Es hora de analizar con honestidad nuestra madurez general en ciberseguridad y evaluar las mejoras rápidas y viables que tenemos ante nosotros.

Los CISO se encuentran en una posición cada vez más complicada: proteger más activos, lanzar más código, reducir una superficie de ataque mayor y hacerlo con recursos financieros que disminuyen rápidamente. Es un hecho innegable que la ciberseguridad se percibe como un centro de costes y, aunque el programa de seguridad de una organización es lo que impide que un actor de amenazas la convierta en el titular desastroso de mañana, los líderes de seguridad deben esforzarse más por vender y demostrar el valor comercial general del departamento, utilizando un lenguaje que resulte comprensible para la dirección ejecutiva.

Nuestro informe de investigación más reciente, Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise, es el resultado de un análisis profundo de iniciativas reales de Secure-by-Design a nivel empresarial y de la obtención de mejores prácticas basadas en hallazgos respaldados por datos.

El creciente enfoque en el código seguro y los principios de diseño seguro requiere que los desarrolladores reciban formación en ciberseguridad desde el inicio del ciclo de vida de desarrollo de software (SDLC), con herramientas como el Trust Score de Secure Code Warrior que ayudan a medir y mejorar su progreso.

Nuestra investigación ha demostrado que la formación en código seguro funciona. Trust Score, mediante un algoritmo que utiliza más de 20 millones de puntos de datos de aprendizaje obtenidos del trabajo de más de 250 000 desarrolladores en más de 600 organizaciones, revela su eficacia para reducir las vulnerabilidades y cómo hacer que esta iniciativa sea aún más efectiva.

Obtener datos significativos sobre el éxito de las iniciativas de seguridad desde el diseño es sumamente difícil. Los CISO suelen enfrentarse a retos al intentar demostrar el retorno de la inversión (ROI) y el valor empresarial de las actividades de seguridad, tanto a nivel individual como corporativo. Además, es especialmente complicado para las empresas obtener información sobre cómo se comparan sus organizaciones con los estándares actuales del sector. La Estrategia Nacional de Ciberseguridad del Presidente instó a las partes interesadas a "adoptar la seguridad y la resiliencia desde el diseño". La clave para que estas iniciativas funcionen no es solo dotar a los desarrolladores de las habilidades necesarias para garantizar un código seguro, sino también asegurar a los reguladores que dichas competencias están presentes. En esta presentación, compartimos una gran variedad de datos cualitativos y cuantitativos, derivados de múltiples fuentes primarias, incluidos puntos de datos internos recopilados de más de 250.000 desarrolladores, perspectivas de clientes basadas en datos y estudios públicos. Aprovechando esta agregación de datos, pretendemos comunicar una visión del estado actual de las iniciativas de seguridad desde el diseño en múltiples sectores. El informe detalla por qué este ámbito está actualmente infrautilizado, el impacto significativo que un programa de capacitación exitoso puede tener en la mitigación de riesgos de ciberseguridad y el potencial para eliminar categorías de vulnerabilidades de una base de código.

El debate sobre la IA no trata sobre su uso, sino sobre su aplicación. Descubra cómo equilibrar la necesidad de obtener ganancias de productividad mediante la IA con una seguridad sólida, confiando en desarrolladores que comprendan profundamente su código.

Claude Mythos de Anthropic representa un cambio fundamental y permanente en la forma en que todo líder de seguridad debe abordar su programa de seguridad, especialmente en lo que respecta a la gestión de parches en sistemas heredados.

En este informe técnico, el experto en seguridad y cofundador y CTO de Secure Code Warrior, el Dr. Matias Madou, analizará: los seis pilares necesarios para implementar una educación y capacitación en seguridad efectiva para tu equipo de desarrollo. Lecciones aprendidas de diez ejecutivos que han implementado programas de seguridad a nivel empresarial y los errores comunes que debes evitar en tu camino al éxito.