Serie Coders Conquer Security OWASP Top 10 API - Registro y monitorización insuficientes

El fallo de registro y monitorización insuficientes suele producirse como resultado de un plan de ciberseguridad deficiente a la hora de registrar todos los intentos fallidos de autenticación, accesos denegados y errores de validación de entrada. Puede ocurrir en otros puntos del entorno de producción, pero se asocia principalmente a la incapacidad de detener intentos de inicio de sesión no válidos.

Es una vulnerabilidad peligrosa porque significa que los equipos de ciberseguridad no responderán a los ataques porque desconocen su existencia. Esto otorga a los atacantes una gran ventaja, permitiéndoles pasar desapercibidos mientras intentan penetrar más en el sistema o elevar sus privilegios. De hecho, sin un registro y una monitorización adecuados, resulta muy difícil o incluso imposible detectar y detener los ataques antes de que causen daños significativos.

¿Listo para poner a prueba tus habilidades con un desafío ahora mismo? Echa un vistazo a esto:

¿Cómo explotan los atacantes el registro y la monitorización insuficientes?

Cualquier API es vulnerable a un registro y monitorización insuficientes si el nivel de registro no está configurado correctamente, si es demasiado bajo, si los mensajes de error no incluyen suficiente detalle o si no existe ninguna función de registro.

Un ejemplo interesante sería si un hacker obtuviera una gran lista de nombres de usuario comprometidos para un sitio web o servicio. Mediante experimentación, podría descubrir que se necesitan tres intentos fallidos de inicio de sesión antes de que se bloquee el acceso al sistema y se notifique al personal de ciberseguridad.

Armados con esta información, en lugar de intentar ataques de fuerza bruta contra cuentas individuales, podrían escribir un script para intentar iniciar sesión con cada nombre de su lista comprometida usando contraseñas comunes como "123456" o "password". El truco consiste en probar cada nombre de usuario solo una o dos veces, manteniéndose por debajo del umbral de bloqueo y alertas. Si tienen suerte, comprometerán algunas contraseñas de inmediato. Después, simplemente esperan un día a que el contador de intentos se reinicie y repiten el proceso con otras contraseñas como "qwerty" o "god". Si los administradores nunca detectan lo que hacen, los atacantes pueden recorrer la lista muchas veces y terminar comprometiendo la mayoría de las cuentas con contraseñas débiles.

Esto ocurrió en el ejemplo proporcionado por OWASP, donde una plataforma de intercambio de vídeos fue atacada mediante un ataque de relleno de credenciales que explotó la vulnerabilidad de registro y monitorización insuficientes. Hasta que la empresa empezó a recibir quejas de los usuarios, no tenía idea de que el ataque estaba ocurriendo. Finalmente, encontraron pruebas en los registros de la API y tuvieron que emitir una notificación de cambio de contraseña obligatorio a todos sus usuarios, además de informar del ataque a las autoridades reguladoras.

Eliminación de la vulnerabilidad de registro y monitorización insuficientes

La automatización y la monitorización constante pueden ayudar a acabar con esta vulnerabilidad. Para empezar, todos los intentos fallidos de autenticación deben registrarse. Además, dicho registro debe tener un formato legible por máquina, como STIX y TAXII, para que pueda ser ingerido por un sistema de gestión de eventos e información de seguridad (SIEM) entrenado para detectar ataques independientemente de los umbrales utilizados.

También debes proteger tus archivos de registro. Trátalos como información confidencial y protégelos contra la eliminación o modificación por parte de atacantes. Una buena política consiste en realizar copias de seguridad de los archivos de registro y, además, cifrarlos.

Por último, crea paneles y alertas personalizados para que cualquier actividad sospechosa pueda detectarse y responderse lo antes posible. Si eliminas el tiempo que un atacante tiene en el sistema, le quitas la capacidad de utilizar técnicas de ataque lentas y discretas para permanecer sin ser detectado.

Consulta las páginas del blog de Secure Code Warrior para obtener más información sobre esta vulnerabilidad y cómo proteger a tu organización y a tus clientes de los estragos de otros fallos de seguridad. También puedes probar una demostración de la plataforma de formación de Secure Code Warrior para mantener todas tus habilidades de ciberseguridad perfeccionadas y actualizadas.