La reorganización de la lista de OWASP para 2021: un nuevo plan de batalla y un enemigo principal

En este mundo cada vez más caótico, siempre ha habido algunas constantes con las que la gente podía confiar: el sol saldrá por la mañana y volverá a ponerse por la noche, Mario siempre estará más fresco que Sonic the Hedgehog y los ataques por inyección siempre ocuparán el primer lugar en la lista del Open Web Application Security Project (OWASP) de los diez más comunes y vulnerabilidades peligrosas que los atacantes explotan activamente.

Bueno, mañana saldrá el sol y Mario todavía tiene una ventaja sobre Sonic, pero los ataques por inyección han dejado de ocupar el puesto número uno de la infame lista de OWASP, actualizada en 2021. Una de las formas de ataque más antiguas, vulnerabilidades de inyección han existido casi tanto tiempo como las redes informáticas. Esta vulnerabilidad general es responsable de una amplia gama de ataques, que incluyen desde los tradicionales Inyecciones SQL a los exploits lanzados contra las bibliotecas de navegación Object Graph (OGNL). Incluso incluye ataques directos contra servidores que utilizan Técnicas de inyección de comandos del sistema operativo. La versatilidad de las vulnerabilidades de inyección para los atacantes, sin mencionar la cantidad de lugares que podrían ser atacados, ha mantenido a esta categoría en el primer puesto durante muchos años.

Pero el rey de las inyecciones ha caído. Viva el rey.

¿Significa eso que por fin hemos resuelto el problema de la vulnerabilidad por inyección? No es una posibilidad. No se alejó mucho de su posición como enemigo de seguridad número uno, solo bajó al número tres en la lista de OWASP. Sería un error subestimar los peligros que siguen representando los ataques por inyección, pero el hecho de que otra categoría de vulnerabilidad haya podido superarla es significativo, ya que demuestra lo extendido que está realmente el nuevo líder de OWASP y por qué los desarrolladores deben prestarle mucha atención de ahora en adelante.

Sin embargo, quizás lo más interesante es que el Top 10 de OWASP de 2021 refleja una importante renovación, con el debut de nuevas categorías: diseño inseguro, fallos de integridad de datos y software, y una entrada basada en los resultados de una encuesta comunitaria: Server-Side Request Forgery. Todo ello apunta a que cada vez se presta más atención a las vulnerabilidades arquitectónicas y a ir más allá de los errores superficiales para convertirse en el punto de referencia en seguridad del software.

El control de acceso roto se lleva la corona (y revela una tendencia)

El control de acceso roto pasó del quinto puesto en la lista de las diez principales vulnerabilidades de OWASP a la actual posición número uno. Al igual que en el caso de la inyección y de otras nuevas, como el diseño inseguro, la vulnerabilidad de acceso roto abarca una amplia gama de fallos de codificación, lo que se suma a su dudosa popularidad, ya que, en conjunto, permiten causar daños en varios frentes. Esta categoría incluye cualquier instancia en la que se puedan infringir las políticas de control de acceso para que los usuarios puedan actuar sin tener en cuenta los permisos previstos.

Algunos ejemplos de fallos en el control de acceso citados por OWASP para elevar la familia de vulnerabilidades al primer puesto incluyen los que permiten a los atacantes modificar una URL, el estado interno de una aplicación o parte de una página HTML. También pueden permitir a los usuarios cambiar su clave de acceso principal para que una aplicación, un sitio o una API crean que son otra persona, por ejemplo, un administrador con privilegios superiores. Incluso incluye vulnerabilidades en las que los atacantes no tienen prohibido modificar los metadatos, lo que les permite cambiar elementos como los tokens web JSON, las cookies o los tokens de control de acceso.

Una vez explotadas, los atacantes pueden utilizar esta familia de vulnerabilidades para omitir archivo u objeto autorizaciones, les permite robar datos o incluso realizar funciones destructivas a nivel de administrador, como eliminar bases de datos. Esto hace que la interrupción del control de acceso sea sumamente peligrosa, además de ser cada vez más común.

Resulta bastante convincente, aunque no sorprendente, que las vulnerabilidades de autenticación y control de acceso se estén convirtiendo en el terreno más fértil para que los atacantes exploten. Lo último de Verizon Informe de investigaciones sobre violaciones de datos revela que los problemas de control de acceso prevalecen en casi todos los sectores, especialmente en TI y atención médica, y que un enorme 85% de todas las infracciones involucraron un elemento humano. Ahora bien, el término «elemento humano» abarca incidentes como los ataques de suplantación de identidad, que no son un problema de ingeniería, pero el 3% de las infracciones implicaron vulnerabilidades que podían aprovecharse y, según el informe, se debieron principalmente a vulnerabilidades antiguas y a errores humanos, como errores de configuración de la seguridad.

Si bien esos decrépitos errores de seguridad, como el XSS y la inyección de SQL, siguen haciendo tropezar a los desarrolladores, cada vez es más evidente que el diseño de la seguridad básica está fallando, lo que da paso a vulnerabilidades arquitectónicas que pueden resultar muy ventajosas para un actor de amenazas, especialmente si no se corrigen después de que se haga pública la falla de seguridad de una versión determinada de una aplicación.

El problema es que pocos ingenieros reciben una formación y un desarrollo de habilidades que vayan más allá de lo básico, y son pocos los que realmente amplían sus conocimientos y aplicaciones prácticas más allá de los errores localizados a nivel de código que suelen introducir los desarrolladores en primer lugar.

Prevenir los errores que los robots rara vez encuentran

La familia recientemente agrupada de vulnerabilidades de control de acceso rotas es bastante diversa. Puede encontrar algunos ejemplos específicos de controles de acceso incorrectos y cómo detenerlos nuestro canal de YouTube y nuestro blog.

Sin embargo, creo que es importante celebrar este nuevo Top 10 de OWASP; de hecho, es más variado y abarca una gama más amplia de vectores de ataque que incluyen aquellos que los escáneres no necesariamente detectarán. Por cada punto débil que se encuentre a nivel de código, habrá fallos arquitectónicos más complejos que pasarán desapercibidos para la mayoría de los técnicos de seguridad, independientemente del número de escudos y armas automatizados que haya en el arsenal. Si bien la mayor parte de la lista de los 10 principales nombres de OWASP sigue compilándose basándose en el escaneo de datos, las nuevas entradas que abordan, entre otras cosas, los fallos de diseño inseguros y de integridad de los datos muestran que los horizontes de formación de los desarrolladores deben ampliarse rápidamente para lograr lo que los robots no pueden.

En pocas palabras, los escáneres de seguridad no son buenos modeladores de amenazas, pero un equipo de desarrolladores expertos en seguridad puede ayudar enormemente al equipo de AppSec aumentando su coeficiente intelectual de seguridad de acuerdo con las mejores prácticas y las necesidades de la empresa. Esto debe tenerse en cuenta en un buen programa de seguridad, teniendo en cuenta que, si bien el top 10 de OWASP es una base excelente, el panorama de amenazas es tan rápido (sin mencionar las exigencias de los objetivos de desarrollo internos) que debe haber un plan para profundizar y ser más específico en la mejora de las habilidades de los desarrolladores en materia de seguridad. No hacerlo conducirá inevitablemente a la pérdida de oportunidades para remediar pronto y obstaculizará un enfoque holístico exitoso de la ciberseguridad preventiva y dirigida por el ser humano.

‍

Estamos listos para OWASP Top 10 para 2021, ¡y eso es solo el comienzo! Inicie a sus desarrolladores en un ruta de habilidades de seguridad elevadas hoy.