Las 10 mejores API de la serie OWASP de Coders Conquer Security: registro y monitoreo insuficientes

La falla de registro y monitoreo insuficientes se produce principalmente como resultado de un plan de ciberseguridad fallido en lo que respecta al registro de todos los intentos de autenticación fallidos, el acceso denegado y los errores de validación de entrada. Puede ocurrir en otros puntos del entorno de producción, pero se asocia principalmente a la incapacidad de detener los intentos de inicio de sesión no válidos.

Es una vulnerabilidad peligrosa porque significa que los equipos de ciberseguridad no responderán a los ataques porque no los conocen. Esto ofrece a los atacantes una gran ventaja, ya que les permite pasar desapercibidos mientras intentan penetrar en un sistema o actualizar sus credenciales. De hecho, sin un registro y una supervisión adecuados, resulta muy difícil o incluso imposible detectar y detener los ataques antes de que puedan causar daños importantes.

¿Estás listo para poner a prueba tus habilidades con un desafío ahora mismo? Échale un vistazo a esto:

¿Cómo aprovechan los atacantes el registro y la supervisión insuficientes?

Cualquier API es vulnerable a un registro y una supervisión insuficientes si el nivel de registro no está configurado correctamente, si se establece demasiado bajo, si los mensajes de error no incluyen suficientes detalles o si no hay ninguna función de registro.

Un ejemplo interesante sería si un pirata informático obtuviera una gran lista de nombres de usuario comprometidos para un sitio web o servicio. Mediante la experimentación, podrían descubrir que se necesitan tres intentos fallidos de inicio de sesión antes de que se les bloquee el acceso al sistema y antes de que se notifique al personal de ciberseguridad.

Con esta información, en lugar de intentar utilizar la fuerza bruta para cuentas individuales, podrían escribir un script para intentar iniciar sesión con todos los nombres de su lista comprometida utilizando contraseñas comunes como «123456» o «contraseña». El truco consiste en que solo prueban cada nombre de usuario una vez, o quizás dos veces, manteniéndose por debajo del umbral de bloqueos y alertas. Si tienen suerte, comprometerán al menos algunas contraseñas de inmediato. Después de eso, simplemente esperan un día a que se restablezca el contador de inicio de sesión y vuelven a ejecutar el proceso con contraseñas diferentes, como «qwerty» o «dios». Si los administradores nunca detectan lo que están haciendo, los atacantes pueden revisar la lista muchas veces y, finalmente, comprometer la mayoría de las cuentas con contraseñas poco seguras.

Esto ocurrió en el ejemplo proporcionado por OWASP, en el que una plataforma para compartir vídeos fue atacada mediante un ataque de relleno de credenciales que aprovechó la vulnerabilidad de registro y supervisión insuficientes. Hasta que la empresa empezó a recibir quejas de los usuarios, no tenía ni idea de que el ataque estaba ocurriendo. Finalmente, encontraron pruebas en los registros de la API y tuvieron que enviar una notificación de cambio forzoso de contraseña a todos sus usuarios, así como denunciar el ataque a las autoridades reguladoras.

Eliminar la vulnerabilidad de registro y monitoreo insuficientes

La automatización y la supervisión constante pueden ayudar a poner fin a esta vulnerabilidad. Para empezar, se deben registrar todos los intentos de autenticación fallidos. Además, ese registro debe ponerse en un formato que pueda leer una máquina, como STIX y TAXII, para poder incorporarlo a un sistema de gestión de eventos e información de seguridad (SIEM) que esté capacitado para detectar ataques independientemente de los umbrales utilizados.

También debe proteger los archivos de registro. Trátelos como información confidencial y protéjalos de la eliminación o modificación por parte de los atacantes. Una buena política es hacer copias de seguridad de los archivos de registro y cifrarlos.

Por último, cree paneles y alertas personalizados para que cualquier actividad sospechosa pueda detectarse y responderse a ella lo antes posible. Si eliminas el tiempo de permanencia de un atacante en el sistema, eliminas su capacidad de utilizar técnicas de ataque lentas y lentas para no ser detectado.

Eche un vistazo a la Secure Code Warrior páginas de blog para obtener más información sobre esta vulnerabilidad y sobre cómo proteger a su organización y a sus clientes de los estragos de otras fallas de seguridad. También puedes prueba una demo de la plataforma de formación Secure Code Warrior para mantener todas sus habilidades de ciberseguridad perfeccionadas y actualizadas.