Cómo garantizar la disponibilidad, la integridad y la confidencialidad de tus aplicaciones

F5

7 MIN DE LECTURA

Durante las últimas cuatro décadas, el software ha evolucionado. En la época de los ordenadores centrales, los usuarios accedían a programas almacenados de forma centralizada en grandes sistemas multiusuario. Sin embargo, en la década de 1990, las aplicaciones solían distribuirse en discos de plástico, envueltos en plástico retráctil dentro de cajas de cartón, y se instalaban localmente y se actualizaban con poca frecuencia.

En cierto modo, hemos vuelto al punto de partida: las aplicaciones se distribuyen de nuevo cada vez más a través de una red, y los desarrolladores participan cada vez más en las tareas operativas y en la protección de las aplicaciones que ellos mismos desarrollan. En este mundo permanentemente conectado, en el que las aplicaciones se ofrecen como servicio, las vulnerabilidades del software pueden explotarse rápidamente y los ataques DDoS sencillos pueden interrumpir el servicio.

En las empresas que desarrollan sus propias aplicaciones, los programadores deben crear software siguiendo un ciclo de vida de desarrollo de software seguro de principio a fin (SDLC). Esto implica centrarse en reducir la superficie de ataque del software, eliminar vulnerabilidades y formar a los desarrolladores para que diseñen y programen de forma más segura.

Aplicación de controles de acceso y del principio básico de seguridad

Al mismo tiempo, las empresas también deben tratar las aplicaciones en la nube como tecnología operativa que debe gestionarse de forma segura. Dado que las aplicaciones en la nube están siempre conectadas, pueden convertirse fácilmente en objetivos de ataques, por lo que resulta fundamental identificar y eliminar las vulnerabilidades a tiempo. Para anticiparse a las amenazas, las empresas deben implantar un proceso de gestión de vulnerabilidades que permita identificarlas y priorizarlas, así como automatizar rápidamente su corrección mediante un firewall de aplicaciones web (WAF). Un WAF es un control de seguridad web esencial que puede dar tiempo a una empresa al bloquear un ataque mientras el equipo de desarrollo trabaja para corregir el código.

Más allá del debate habitual sobre la gestión de vulnerabilidades en la seguridad de las aplicaciones, ¿qué otros aspectos debería tener en cuenta? Un buen punto de partida es configurar un control de acceso adecuado. El marco de autenticación, autorización y registro (AAA) es una guía fundamental para garantizar que se exija por defecto una autenticación robusta mediante funciones como el inicio de sesión único (SSO) y la autenticación multifactor. Además, autorizar a los usuarios mediante un sólido control de acceso basado en roles (RBAC) que incluya al menos tres roles (por ejemplo, usuario sin privilegios, usuario con privilegios y administrador) ayuda a reducir los incidentes involuntarios. Y, si se produce un incidente, registrar correctamente los eventos le permitirá obtener datos clave para resolverlo, como qué cuenta se utilizó y desde qué sistema se accedió.

Junto con el marco AAA, analizar la seguridad de las aplicaciones desde la perspectiva de los principios de seguridad CIA —confidencialidad, integridad y disponibilidad— puede poner de relieve otras medidas que las empresas deberían adoptar para proteger sus aplicaciones y mantener sus servicios en funcionamiento.

1. Disponibilidad: mantener la aplicación en funcionamiento

A medida que los trabajadores dependen cada vez más de las aplicaciones en la nube, la disponibilidad de los servicios en la nube se ha vuelto esencial para las operaciones empresariales. Los ataques DDoS, que antes no eran más que una molestia, ahora tienen una capacidad mucho mayor para interrumpir dichas operaciones.

Recomendaciones:

• Utilice servicios de mitigación de DDoS diseñados para bloquear los ataques en el perímetro de la red. En caso de ataque, un sistema de este tipo puede ayudarle a ahorrar dinero, ya que el tráfico no generará cargos adicionales debido a picos en el uso de la nube.
• Implemente un proceso de gestión de cambios. Muchas empresas han provocado una interrupción de sus propios servicios tras aplicar una actualización defectuosa a su infraestructura.
• Utilice un WAF o un dispositivo de protección contra DDoS para evitar ataques de capa 7 (a nivel de aplicación).

2. Integridad: garantizar que la aplicación funcione según lo previsto

Mantener abiertas las puertas digitales es la principal prioridad de una empresa. Impedir la entrada de agentes maliciosos es la segunda. Los equipos de desarrollo y operaciones deben crear unas bases seguras para acceder a todas sus aplicaciones y datos, tal como se ha explicado anteriormente en el apartado sobre AAA. También deben gestionar el control de cambios para evitar que modificaciones involuntarias hagan que la aplicación funcione de forma que afecte a la integridad de los datos.

Recomendaciones:

• La implementación de herramientas como WebSafe y un WAF limita la capacidad de los agentes maliciosos para inyectar datos dañinos en la aplicación, protegiéndola frente a una amplia variedad de amenazas y ayudando a reducir las pérdidas y la exposición.
• Los controles de aplicaciones que comprueban que los datos estén completos también son una excelente forma de detectar si alguno de los controles anteriores ha fallado.
• Las pruebas automatizadas de la configuración de la aplicación pueden alertar rápidamente al equipo de operaciones cuando se implementan cambios defectuosos.

3. Confidencialidad: cómo mantener los secretos en la nube

La confidencialidad de los datos debe garantizarse durante su recopilación, transmisión y almacenamiento, tanto en la nube como en las instalaciones de su centro de datos. La gestión de vulnerabilidades, incluido el uso de un WAF, constituye uno de los principales controles que debe implementar para evitar que la explotación de una vulnerabilidad de la aplicación ponga en peligro tanto la propia aplicación como la confidencialidad de los datos que contiene. Hoy en día, no hay motivo para no utilizar la tecnología TLS a fin de cifrar las comunicaciones entre el usuario y el servidor de aplicaciones web. Los datos almacenados en la nube o en las propias instalaciones también deben cifrarse por completo para impedir el acceso no autorizado.

Recomendaciones:

• Activa TLS/SSL de forma predeterminada. ¡HTTPS en todas partes!
• Cifre de forma robusta los datos críticos en reposo, especialmente los almacenes de credenciales del back-end. Un simple hash de contraseña ya no es aceptable. Como mínimo, debe implementarse un hash con sal o cualquier mecanismo de cifrado más robusto.
• Implemente un programa exhaustivo de gestión de vulnerabilidades para detectar y clasificar los fallos. Para protegerse frente a las vulnerabilidades entre despliegues de parches, se recomienda encarecidamente utilizar las funciones de parcheo virtual de un WAF.
• Proteger las aplicaciones y la infraestructura en la nube es una tarea compleja, pero analizarlas desde la perspectiva de los principios AAA y CIA permite a los profesionales de la seguridad abordar esta disciplina de forma integral y adoptar medidas que respalden una estrategia global de seguridad.

Preston Hogue es director sénior de Marketing de Seguridad en F5 Networks. Preston es responsable de las campañas globales de seguridad, la divulgación y el liderazgo de opinión, incluida la supervisión del equipo de inteligencia sobre amenazas para aplicaciones de F5 Labs. Preston cuenta con más de 20 años de experiencia en seguridad de la información, que incluye el desarrollo, la implementación y la gestión de programas de seguridad complejos, el diseño de análisis y gestión de riesgos, y la implementación de programas para abordar requisitos normativos y de cumplimiento.

Sobre el autor

F5

Más artículos de F5