Coders Conquer Security: Serie de aprendizaje y colaboración - Uso de componentes con vulnerabilidades conocidas

¿Qué es lo único que tienen todas las aplicaciones? Componentes, también conocidos como dependencias o bibliotecas. Existe muy poco código en el mundo que no dependa de otro código en algún momento. ¡Incluso se empieza con una montaña de dependencias desde el momento en que se crea la aplicación!

Dado que todas las aplicaciones utilizan componentes, la mayoría de los cuales usted no ha escrito, las vulnerabilidades dentro de los componentes que utiliza pueden convertirse en riesgos. Analicemos qué significa utilizar componentes con vulnerabilidades conocidas, qué tan peligroso es y cómo resolverlo.

Comprender el uso de componentes con vulnerabilidades conocidas

Todo software complejo tiene vulnerabilidades. Es parte de la naturaleza del problema. Por lo tanto, sus componentes nunca serán 100% seguros. Sin embargo, cuando se encuentran vulnerabilidades en los componentes, ¿se entera de ello? ¿Está preparado para afrontarlo?

Los problemas surgen con mayor frecuencia cuando los componentes se utilizan más allá de su vida útil o después de que se han encontrado vulnerabilidades. La mayoría de los componentes y bibliotecas lanzan parches para las vulnerabilidades de seguridad al mismo tiempo o antes de que se anuncie la vulnerabilidad. Por lo tanto, cuando se descubren y anuncian vulnerabilidades en los componentes, es de suma importancia actualizar los componentes lo antes posible. No deje software vulnerable en producción.

Los componentes pueden provenir de varias fuentes. A veces, usted compra productos de proveedores externos que se integran directamente con su código personalizado. Estos componentes se convierten en parte de su código y operan al mismo nivel de privilegios. Otra fuente son los proyectos de código abierto alojados en sitios como GitHub. El código abierto puede ser peligroso, ya que no todas las bibliotecas de código abierto han sido cuidadosamente examinadas o auditadas en busca de vulnerabilidades.

Los atacantes utilizan la información sobre las vulnerabilidades de los componentes a su favor. Dado que las vulnerabilidades se anuncian públicamente, los atacantes se enteran de ellas al mismo tiempo que usted. Los atacantes también tienen técnicas que pueden utilizar para averiguar qué componentes está usando. Una vez que conocen esta información, sabrán cómo atacar su aplicación si no está parcheada.

Sepa por qué los componentes vulnerables son peligrosos

Si busca pruebas de lo peligroso que es utilizar componentes con vulnerabilidades conocidas, no busque más allá de la brecha de seguridad de Equifax de 2017.

En julio de 2017, Equifax, una agencia de crédito de Estados Unidos, descubrió una filtración masiva de datos que expuso la información de identificación personal de más de 147 millones de personas. El alcance y el impacto de esta brecha de datos no tienen precedentes. Recientemente, han salido a la luz noticias sobre las laxas prácticas de seguridad de Equifax.

Una de esas prácticas laxas fue la gestión de parches. Equifax no tenía buenas prácticas de gestión de parches, lo que significaba que sus componentes pasaban bastante tiempo sin ser actualizados. Esta fue la causa directa de la brecha.

El sitio web de Equifax utilizaba el marco de trabajo web Apache Struts. Varios meses antes de que los atacantes entraran en la red, se encontró una vulnerabilidad en el marco Struts, Apache Struts CVE-2017-5638. Sin embargo, Equifax no parcheó la vulnerabilidad. Los atacantes utilizaron esta vulnerabilidad para obtener acceso a la red de Equifax. A partir de ahí, obtuvieron acceso a un tesoro de información personal.

Muchos sitios web se basan en marcos de trabajo web que no han sido escritos por la propia empresa. Esta es una práctica estándar, ya que crear toda la funcionalidad necesaria desde cero sería una tarea demasiado grande. Sin embargo, depender fuertemente de un marco de trabajo puede exponerlo a vulnerabilidades. No se convierta en el próximo Equifax.

Cómo protegerse contra componentes vulnerables

No existe una solución mágica para protegerse contra el uso de componentes vulnerables. Sin embargo, existen políticas y controles que puede utilizar para mitigar el riesgo de que se utilicen componentes vulnerables para comprometer sus sistemas.

Necesita saber qué componentes y qué versión de cada componente está utilizando para crear sus aplicaciones. Las herramientas de gestión de dependencias, como Dependency Check de OWASP, le ayudan a controlar qué dependencias está utilizando. Dependency Check también le informará si alguno de esos componentes tiene una vulnerabilidad divulgada públicamente.

Una metodología de gestión de parches también es esencial. Cuando se descubran vulnerabilidades, cuente con un sistema para que los parches se descarguen, prueben y publiquen en producción sin problemas. Mantener su software parcheado evita que los atacantes utilicen vulnerabilidades de hace meses.

Por último, establezca políticas que regulen el uso de componentes de código abierto y de terceros. A los desarrolladores no les gusta la burocracia, y es comprensible. Sin embargo, debe existir un proceso de validación para el código que no haya sido escrito por su organización. No tiene por qué ser complejo, pero es indispensable para evitar el uso de componentes desconocidos. Como mínimo, se debe mantener actualizado un inventario de los componentes utilizados.

No deje que los componentes de terceros le sorprendan

Los componentes tendrán vulnerabilidades. Sus aplicaciones empresariales utilizarán componentes, ya sean de un proveedor o de una biblioteca de código abierto. Esto no significa que su organización deba ser vulnerable a ataques.

Aunque los atacantes conozcan las vulnerabilidades al mismo tiempo que usted, los parches suelen estar disponibles cuando se hacen públicos los anuncios. Por ello, asegúrese de saber qué utiliza su aplicación. Identifique qué es vulnerable. ¡Mantenga sus componentes actualizados!

¿Listo para descubrir (y derrotar) algunos componentes vulnerables? Diríjase a la arena para entrar en combate: [Comenzar aquí]