¿Qué es la mala configuración de seguridad? | Secure Code Warrior

El término configuración incorrecta de seguridad es un poco genérico e incluye las vulnerabilidades comunes que se introducen debido a los ajustes de configuración de la aplicación, en lugar de códigos incorrectos. Las más comunes suelen implicar errores simples que pueden tener grandes consecuencias para las organizaciones que implementan aplicaciones con esos errores de configuración.

Algunos de los errores de configuración de seguridad más comunes incluyen no deshabilitar los procesos de depuración en las aplicaciones antes de implementarlas en el entorno de producción, no permitir que las aplicaciones se actualicen automáticamente con los parches más recientes, olvidarse de deshabilitar las funciones predeterminadas, así como muchas otras pequeñas cosas que pueden ocasionar grandes problemas en el futuro.

La mejor manera de combatir las vulnerabilidades de configuración incorrecta de la seguridad es eliminarlas de la red antes de que se implementen en el entorno de producción.

En este episodio, aprenderemos:

• Cómo los piratas informáticos encuentran y explotan los errores de configuración de seguridad más comunes
• Por qué los errores de configuración de seguridad pueden ser peligrosos
• Políticas y técnicas que se pueden emplear para encontrar y corregir errores de configuración de seguridad.

¿Cómo aprovechan los atacantes las configuraciones erróneas de seguridad más comunes?

Hay muchos errores de configuración de seguridad comunes. Los más populares son muy conocidos en las comunidades de hackers y casi siempre se buscan cuando se buscan vulnerabilidades. Algunos de los errores de configuración más comunes incluyen, pero no se limitan a:

• No deshabilitar las cuentas predeterminadas con contraseñas conocidas.
• Dejar activadas las funciones de depuración en producción que revelan rastros de pila u otros mensajes de error a los usuarios.
• Las funciones innecesarias o predeterminadas que se dejan habilitadas, como puertos, servicios, páginas, cuentas o privilegios innecesarios.
• No usar encabezados de seguridad o usar valores inseguros para ellos.

Algunos errores de configuración son bien conocidos y fáciles de explotar. Por ejemplo, si se habilita una contraseña predeterminada, un atacante solo tendrá que escribirla junto con el nombre de usuario predeterminado para obtener un acceso de alto nivel a un sistema.

Otros errores de configuración requieren un poco más de trabajo, como cuando las funciones de depuración se dejan habilitadas después de implementar una aplicación. En ese caso, un atacante intenta provocar un error y registra la información devuelta. Con esos datos, pueden lanzar ataques muy selectivos que pueden exponer información sobre el sistema o la ubicación de los datos que intentan robar.

¿Por qué son tan peligrosos los errores de configuración de seguridad?

Según la configuración errónea de seguridad exacta que se esté explotando, los daños pueden ir desde la exposición de la información hasta el compromiso total de la aplicación o el servidor. Cualquier error de configuración de seguridad crea una brecha en las defensas que los atacantes expertos pueden aprovechar. En el caso de algunas vulnerabilidades, como tener habilitadas las contraseñas predeterminadas, incluso un hacker sin experiencia puede aprovecharlas. Después de todo, ¡no hace falta ser un genio para buscar las contraseñas predeterminadas e introducirlas!

Eliminar la amenaza que representan las configuraciones incorrectas de seguridad

La mejor manera de evitar errores de configuración de seguridad es definir configuraciones seguras para todas las aplicaciones y programas que se implementan en una organización. Esto debería incluir cosas como deshabilitar los puertos innecesarios, eliminar los programas y funciones predeterminados que no utiliza la aplicación y deshabilitar o cambiar todos los usuarios y contraseñas predeterminados. También debería incluir la comprobación y la solución de los errores de configuración más comunes, como deshabilitar siempre el modo de depuración del software antes de que llegue al entorno de producción.

Una vez que se hayan definido, se debe establecer un proceso por el que pasen todas las aplicaciones antes de implementarse. Lo ideal es que alguien se encargue de este proceso y que se le dé el poder suficiente para aplicarlo, así como la responsabilidad en caso de que se produzca un error común en la configuración de seguridad.

Más información sobre errores de configuración de seguridad

Para leer más, puede echar un vistazo a la lista OWASP de el más común errores de configuración de seguridad. También puede poner a prueba sus nuevos conocimientos defensivos con un demo gratuita de la plataforma Secure Code Warrior, que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para obtener más información sobre cómo derrotar esta vulnerabilidad y la galería de otras amenazas de los delincuentes, visita la Blog de Secure Code Warrior.

¿Está listo para evitar un error de configuración de seguridad ahora mismo? Dirígete a nuestra plataforma y ponte a prueba [Empieza aquí]