Por qué las inyecciones SQL son las cucarachas del mundo AppSec (y cómo los CISO pueden erradicarlas de una vez por todas)

Existe una teoría muy conocida que dice que las cucarachas pueden sobrevivir a casi cualquier cosa, incluso a una explosión nuclear. Aunque esa teoría solo es cierta hasta cierto punto, su sencilla composición corporal las hace extremadamente resistentes para su tamaño y difíciles de erradicar en la mayoría de las condiciones.

He estado pensando... si las cucarachas tuvieran un equivalente en el mundo digital, tendrían que ser las vulnerabilidades de inyección SQL (SQLi) en el código. Esta ha sido una vulnerabilidad conocida durante más de veinte años y, sin embargo, las organizaciones siguen siendo víctimas de ella una y otra vez. El costoso y generalizado ataque a Target fue resultado de una inyección SQL, al igual que un caso de piratería electoral en Illinois en el que se expusieron 200 000 registros de votantes, lo que llevó al FBI a recomendar a todos los administradores de TI que trabajaran rápidamente para fortalecer sus prácticas de seguridad.

El Informe de la Iniciativa de Inteligencia Hacker de Imperva reveló que, entre 2005 y 2011, los ataques de SQLi se utilizaron en el 83 % de todas las brechas de datos reportadas. Hoy en día, las vulnerabilidades de inyección siguen siendo la amenaza número uno en el OWASP Top 10. Son relativamente simples, pero simplemente no mueren.

Parece ridículo que esta misma vulnerabilidad siga apareciendo en un número significativo de escaneos de seguridad de aplicaciones. Sabemos cómo funciona y sabemos cómo detenerla. ¿Cómo es posible? La verdad es que nuestra seguridad de software tiene un enorme margen de mejora.

El Informe sobre el estado de la seguridad del software de Veracode, basado en 400 000 escaneos de aplicaciones en 2017, reveló una estadística alarmante: solo el 30 % de las aplicaciones superaron la política OWASP Top 10. Este ha sido un tema constante durante los últimos cinco años, con inyecciones SQL apareciendo en casi 1 de cada 3 aplicaciones recién escaneadas. Esto es evidencia de un problema endémico; no estamos aprendiendo de nuestros errores y los CISO parecen enfrentarse a una batalla cuesta arriba para poder conseguir suficiente talento en seguridad. Por lo general, la proporción de especialistas en AppSec frente a desarrolladores es de un inadecuado 1:100.

¿Por qué la seguridad del software está en cuidados intensivos?

No es ningún secreto que el talento especializado en seguridad es escaso, pero también debemos prestar atención al hecho de que los desarrolladores no están solucionando los problemas a medida que surgen y, claramente, no están preparados para evitar introducir vulnerabilidades en primer lugar. En el mismo informe de Veracode, se reveló que existían mitigaciones documentadas para solo el 14,4 % de todas las vulnerabilidades de desarrollo. En otras palabras, la mayoría de las vulnerabilidades se enviaron sin mitigación de desarrollo. Menos de un tercio de las vulnerabilidades se cerraron en los primeros 90 días, y el 42 % de las vulnerabilidades nunca se cerraron durante el período de desarrollo.

Hablo con profesionales de seguridad, CISO y directores ejecutivos todo el tiempo y, anecdóticamente, me he dado cuenta de que muchas empresas se sienten tan frustradas con la cantidad de vulnerabilidades encontradas que no pueden mitigarse (además del flagelo conocido como falsos positivos), que dejan de buscarlas por completo, cruzan los dedos y esperan lo mejor.

¿Por qué los profesionales de AppSec permiten que esto suceda?

No se equivoquen: el personal de AppSec es dolorosamente consciente de los problemas en el código. Después de todo, esa es una de sus habilidades principales que los convierte en un recurso de equipo tan valioso. Sin embargo, a menudo se ven obstaculizados por varios factores.

Por ejemplo, un gerente de AppSec encontrará un problema y le preguntará al desarrollador: "¿puedes arreglar el código?". La respuesta a esta importante pregunta difiere de una organización a otra, pero, en general, el desarrollador está tan presionado por cumplir con estrictos sprints de entrega de funciones que simplemente no tiene tiempo para solucionar estos problemas, ni herramientas decentes que le ayuden. Los profesionales de AppSec pueden identificar las vulnerabilidades, pero a menudo no tienen las habilidades o el acceso para remediarlas en el momento.

También debemos darnos cuenta de que, para cada problema, existe un proceso de necesidad de encontrar una solución, implementarla y luego probarla. Incluso para el problema más pequeño encontrado en el código, el tiempo que puede llevar solucionarlo, sin mencionar los recursos necesarios, es inmenso. Hay más de 700 vulnerabilidades que pueden introducirse en el software, y es simplemente imposible que una sola persona pueda defenderse de todas ellas. Es por esta razón que la mayoría de las empresas se limitan a seguir solo el OWASP Top 10. Mientras tanto, los desarrolladores siguen creando funciones y, a su vez, siguen introduciendo vulnerabilidades en el código que escriben.

¿Cuál es la solución?

El hecho simple es que no damos a nuestros desarrolladores las herramientas y la formación necesarias para fomentar el éxito en la codificación segura. No existen regulaciones que obliguen a las organizaciones a garantizar que los desarrolladores posean habilidades de seguridad adecuadas, y es una triste realidad que la mayoría de las universidades y pasantías tampoco preparen a los desarrolladores junior para programar de forma segura.

Cuando alguien quiere pilotar un avión, existe un proceso muy riguroso que garantiza la formación, la experiencia práctica, los controles médicos, el conocimiento de seguridad y los exámenes antes de que pueda volar. Nadie se atrevería a imaginar que se les dejaría libres en el cielo sin esta extensa preparación y validación de habilidades, sin embargo, esto es lo que sucede a diario con la escritura de código.

Necesitamos dedicar tiempo a educar a los desarrolladores sobre cómo escribir código seguro. Sin embargo, en el mundo actual, donde el desarrollo de software es acelerado y los buenos desarrolladores y profesionales de seguridad escasean, nunca parece ser una prioridad. Es hora de que cambiemos la conversación.

Un titular reciente del Foro Económico Mundial proclamaba: "No puede haber economía digital sin seguridad", y el contenido adjunto argumentaba la necesidad de que la seguridad sea una parte fundamental de cualquier estrategia de transformación digital. "La seguridad es lo que protege a las empresas, permitiéndoles innovar y crear nuevos productos y servicios. Más allá de un papel defensivo, la seguridad proporciona a las empresas una ventaja estratégica de crecimiento".

Mejorar las habilidades y los resultados de programación segura añadirá una potente capa de ciberprotección para las organizaciones, ayudándoles a crear código mejor y más rápido. Los desarrolladores no necesitan ser expertos en seguridad, pero deben contar con las herramientas prácticas y positivas para ser la primera línea de defensa contra los ciberataques. Los desarrolladores pueden ser los próximos héroes de la seguridad y la innovación. Son personas muy inteligentes, creativas a la hora de resolver problemas y, por lo general, deseosas de ampliar sus competencias. Aproveche sus puntos fuertes con la formación especializada que merecen y apueste por un estándar de seguridad de software más elevado.Lea nuestro informe técnico para obtener más información.

Cuando alguien quiere pilotar un avión, debe seguir un proceso muy riguroso que garantiza la formación, la experiencia práctica, los controles médicos, los conocimientos de seguridad y los exámenes antes de que pueda volar. Nadie se atrevería a imaginar que se le permitiera surcar los cielos sin esta exhaustiva preparación y validación de sus competencias, y sin embargo, esto es lo que ocurre a diario con la escritura de código.