El factor humano olvidado que impulsa las fallas de seguridad en aplicaciones web

El Informe de Investigaciones de Filtraciones de Datos de Verizon de 2018 es, una vez más, una lectura excelente que nos mantiene al día sobre ciberseguridad, incluyendo las tendencias actuales de ciberdelincuencia y los factores que provocan incidentes, con análisis y perspectivas que pueden ayudar a las organizaciones a madurar sus programas de seguridad. Este año, los investigadores de Verizon analizaron más de 53.000 incidentes y unas 2.200 filtraciones, ofreciendo conclusiones tangibles sobre qué vigilar y qué evitar, además de recomendaciones valiosas sobre dónde centrar los esfuerzos de seguridad. El informe de 2018 parece haber evolucionado con los tiempos, siendo relevante para una audiencia empresarial más amplia a medida que el impacto de la seguridad se extiende y se reconoce cada vez más como un problema de negocio general.

Entre muchos hallazgos interesantes, el informe de 2018 confirma que la mayoría de los hackeos siguen ocurriendo a través de vulnerabilidades en aplicaciones web (incluso hay un gráfico interactivo muy interesante que lo muestra).

Los ataques a aplicaciones web consisten en cualquier incidente en el que una aplicación web fue el vector de ataque. Esto incluye la explotación de vulnerabilidades a nivel de código en la aplicación, así como la vulneración de mecanismos de autenticación. Es notable que el número de filtraciones en este patrón se ha reducido gracias al filtrado de ataques de botnets contra aplicaciones web que utilizan credenciales robadas de dispositivos de clientes. El uso de credenciales robadas sigue siendo el principal tipo de hackeo en filtraciones que involucran aplicaciones web, seguido por la inyección SQL (hablaremos más de SQL más adelante...).

Un tema que destaca en el informe de este año es lo crítico que resulta el "factor humano" en la ecuación de seguridad, tanto como parte del problema como de la solución. El informe aborda tanto a actores externos como internos, señalando que los errores fueron la causa principal de casi una de cada cinco (17%) filtraciones. Estas ocurrieron cuando los empleados no destruyeron información confidencial, enviaron un correo electrónico a la persona equivocada o configuraron mal los servidores web. El informe señala que, aunque ninguna de estas acciones fue malintencionada, todas resultaron costosas.

Pero existe un factor humano a menudo olvidado que está causando muchas filtraciones de seguridad: la alta frecuencia con la que los desarrolladores crean código que contiene fallos de seguridad, los cuales derivan en vulnerabilidades de aplicaciones web que, a su vez, provocan estos incidentes y filtraciones.

Las pruebas de aplicaciones en los últimos 5 años no han mostrado una gran mejora en el número de vulnerabilidades encontradas, y los mismos fallos de siempre siguen apareciendo una y otra vez. Un informe de Veracode de 2017, basado en 400.000 escaneos de aplicaciones, muestra que solo el 30% de las aplicaciones superaron la política OWASP Top 10. Sorprendentemente, las inyecciones SQL aparecieron en casi una de cada tres aplicaciones escaneadas recientemente durante los últimos 5 años, incluido el año pasado. Digo sorprendente porque las inyecciones SQL existen desde 1999. El hecho de que los mismos fallos, incluidas las inyecciones SQL, se encuentren constantemente, es prueba de que este problema del "factor humano" entre los desarrolladores no se está abordando adecuadamente.

Es en este punto donde debo alzar la voz para decir que estoy del lado de los desarrolladores en este argumento. ¿Cómo se supone que los desarrolladores escriban código seguro si nadie les enseña por qué es importante, las consecuencias de un código inseguro y, lo más importante, cómo evitar crear estas vulnerabilidades en sus respectivos marcos de trabajo desde el principio?

Eso es lo que hacemos en Secure Code Warrior y estamos viendo pruebas sólidas de que las empresas que integran formación práctica en código seguro en el día a día de sus desarrolladores están reduciendo el número de vulnerabilidades creadas en aplicaciones web. Para que los desarrolladores escriban código seguro, necesitan acceso regular a un aprendizaje práctico que los involucre activamente en el desarrollo de sus habilidades de codificación segura. Necesitan aprender sobre vulnerabilidades identificadas recientemente, en código real y específicamente en sus propios lenguajes o marcos de trabajo. Esta experiencia de aprendizaje debe ayudarles a entender cómo localizar, identificar y corregir vulnerabilidades conocidas. Los desarrolladores también necesitan un conjunto de herramientas de calidad en su proceso que facilite la seguridad, no los ralentice y los guíe en tiempo real sobre patrones de codificación correctos e incorrectos.

Así es como podemos marcar una diferencia tangible y positiva en el número de filtraciones en aplicaciones web.

Estoy totalmente de acuerdo con Verizon en que es necesario aumentar la formación en concienciación sobre seguridad en toda la empresa. Mi posdata para los CIO y CISO es: "¡no olviden a sus desarrolladores!". Estos arquitectos de sus negocios modernos pueden ser un "factor humano" significativo que genera puntos de acceso para los hackers, o pueden ser su primera línea de defensa, sus héroes de la seguridad.

Una mejora efectiva de las competencias de seguridad para los desarrolladores podría marcar una diferencia real en los resultados reportados por Verizon en futuros informes. Sería bueno ver que el informe de 2019 refleje la formación en seguridad para desarrolladores como una estrategia clave de reducción de riesgos que las empresas pueden adoptar. Soy optimista, pero apostaría lo que fuera a que, si las empresas lograran que sus desarrolladores aprendieran a evitar la creación de fallos de inyección, el número de vulnerabilidades en aplicaciones web en este informe caería significativamente.

Eche un vistazo a nuestra plataforma en acción para ver cómo los desarrolladores pueden mejorar sus habilidades rápidamente en un entorno de formación gamificado ideal:

Jugar un desafío de codificación segura

Visitar nuestros recursos de aprendizaje gratuitos

¿Cómo se supone que los desarrolladores escriban código seguro si nadie les enseña por qué es importante, las consecuencias de un código inseguro y, lo más importante, cómo evitar crear estas vulnerabilidades en sus respectivos marcos de trabajo desde el principio?