¿Qué es la configuración de seguridad incorrecta? | Secure Code Warrior

El término configuración de seguridad incorrecta es un concepto general que abarca vulnerabilidades comunes introducidas debido a los ajustes de configuración de la aplicación, en lugar de a un código defectuoso. Las más habituales suelen implicar errores simples que pueden tener grandes consecuencias para las organizaciones que despliegan aplicaciones con dichas configuraciones.

Algunas de las configuraciones de seguridad incorrectas más comunes incluyen no desactivar los procesos de depuración en las aplicaciones antes de desplegarlas en el entorno de producción, no permitir que las aplicaciones se actualicen automáticamente con los últimos parches, olvidar desactivar las funciones predeterminadas, además de una multitud de otros pequeños detalles que pueden causar grandes problemas a largo plazo.

La mejor manera de combatir las vulnerabilidades por configuración de seguridad incorrecta es eliminarlas de la red antes de que se desplieguen en el entorno de producción.

En este episodio, aprenderemos:

• Cómo los hackers encuentran y explotan las configuraciones de seguridad incorrectas más comunes
• Por qué las configuraciones de seguridad incorrectas pueden ser peligrosas
• Políticas y técnicas que se pueden emplear para encontrar y corregir configuraciones de seguridad incorrectas.

¿Cómo explotan los atacantes las configuraciones de seguridad incorrectas más comunes?

Existen muchas configuraciones de seguridad incorrectas comunes. Las más populares son bien conocidas en las comunidades de hackers y casi siempre son lo primero que se busca al intentar encontrar vulnerabilidades. Algunas de las configuraciones incorrectas más frecuentes incluyen, entre otras:

• No desactivar las cuentas predeterminadas con contraseñas conocidas.
• Dejar activadas funciones de depuración en producción que revelan seguimientos de pila u otros mensajes de error a los usuarios.
• Funciones innecesarias o predeterminadas que permanecen activadas, como puertos, servicios, páginas, cuentas o privilegios innecesarios.
• No utilizar encabezados de seguridad o utilizar valores inseguros para ellos.

Algunas configuraciones incorrectas son bien conocidas y fáciles de explotar. Por ejemplo, si una contraseña predeterminada está habilitada, un atacante solo necesitaría introducirla junto con el nombre de usuario predeterminado para obtener acceso de alto nivel al sistema.

Otras configuraciones incorrectas requieren un poco más de trabajo, como cuando las funciones de depuración se dejan activadas después de desplegar una aplicación. En ese caso, un atacante intenta provocar un error y registra la información devuelta. Armados con esos datos, pueden lanzar ataques altamente dirigidos que pueden exponer información sobre el sistema o la ubicación de los datos que intentan robar.

¿Por qué son tan peligrosas las configuraciones de seguridad incorrectas?

Dependiendo de la configuración de seguridad incorrecta específica que se esté explotando, el daño puede variar desde la exposición de información hasta el compromiso total de la aplicación o el servidor. Cualquier configuración de seguridad incorrecta proporciona un agujero en las defensas que los atacantes expertos pueden aprovechar. Para algunas vulnerabilidades, como tener contraseñas predeterminadas habilitadas, incluso un hacker sin experiencia puede explotarlas. Después de todo, ¡no hace falta ser un genio para buscar contraseñas predeterminadas e introducirlas!

Eliminar la amenaza que suponen las configuraciones de seguridad incorrectas

La mejor manera de evitar configuraciones de seguridad incorrectas es definir ajustes seguros para todas las aplicaciones y programas que se desplieguen en una organización. Esto debe incluir aspectos como desactivar puertos innecesarios, eliminar programas y funciones predeterminadas que la aplicación no utiliza, y desactivar o cambiar todos los usuarios y contraseñas predeterminados. También debe incluir la comprobación y el tratamiento de configuraciones incorrectas comunes, como desactivar siempre el modo de depuración en el software antes de que llegue al entorno de producción.

Una vez definidos, se debe establecer un proceso por el que pasen todas las aplicaciones antes de ser desplegadas. Idealmente, alguien debería estar a cargo de este proceso, con suficiente autoridad para hacerlo cumplir y también con responsabilidad en caso de que se pase por alto una configuración de seguridad incorrecta común.

Más información sobre las configuraciones de seguridad incorrectas

Para seguir leyendo, puedes echar un vistazo a la lista de OWASP de las configuraciones de seguridad incorrectas más comunes. También puedes poner a prueba tus nuevos conocimientos defensivos con una demo gratuita de la plataforma Secure Code Warrior, que entrena a los equipos de ciberseguridad para convertirse en los mejores guerreros cibernéticos. Para obtener más información sobre cómo derrotar esta vulnerabilidad y una galería de otras amenazas, visita el blog de Secure Code Warrior.

¿Listo para frustrar una configuración de seguridad incorrecta ahora mismo? Dirígete a nuestra plataforma y ponte a prueba [Empieza aquí]