El malware para móviles y otras actividades maliciosas siguen afectando a los usuarios mientras compran, realizan operaciones bancarias, consultan su estado de salud y llevan a cabo muchas otras actividades, todo ello desde sus teléfonos. Aunque el usuario final debe tomar medidas para evitar ser víctima de un ataque, en última instancia son los proveedores de las aplicaciones —el equipo de producto, el equipo de operaciones y los equipos de privacidad y seguridad— quienes tienen la responsabilidad de garantizar que el entorno móvil siga siendo seguro. Los datos confidenciales que circulan por estas aplicaciones móviles también deben mantenerse fuera del alcance de miradas indiscretas y personas no autorizadas.
El riesgo móvil es ligeramente diferente
Aunque las organizaciones han aumentado sus inversiones en la protección de la nube, las redes y las aplicaciones web, muchas siguen tratando las aplicaciones móviles del mismo modo que los endpoints tradicionales, como los ordenadores de sobremesa y los portátiles, tanto los propiedad de la empresa como los utilizados conforme a políticas BYOD.
Sin embargo, el entorno móvil puede plantear desafíos específicos que exponen estos sistemas a posibles vulneraciones. Por ejemplo, los atacantes suelen recurrir a los siguientes métodos para vulnerar un dispositivo, robar datos, obtener acceso privilegiado y hacer un uso indebido de la aplicación:
- Reempaquetado de aplicaciones móviles
- Inyección de malware
- Secuestro de frameworks de hooking
- Realización de ataques de superposición
Una vez que un agente malicioso controla una aplicación móvil, puede utilizarla como punto de partida para iniciar ataques automatizados contra las aplicaciones del servidor. De este modo, podría llevar a cabo diversos ataques con bots maliciosos, como el relleno de credenciales, la apropiación de cuentas, el scraping y otros.
El objetivo principal de cualquier programa de seguridad es proteger el entorno frente a posibles vulneraciones, pero este objetivo final suele estar motivado, en primera instancia, por la necesidad de cumplir normas como las siguientes:
- Privacidad: RGPD, CCPA
- Pagos: EMVCo SBMP, PCI-DSS y PSD2
- Historiales médicos: HIPAA
Esta realidad llevó a expertos de Google Cloud y F5 a organizar conjuntamente un seminario web para analizar estos retos y ofrecer una vía para que los equipos de ingeniería en la nube, los desarrolladores de aplicaciones, los equipos de operaciones y los profesionales de la seguridad colaboren con el fin de garantizar que la seguridad de las aplicaciones móviles se gestione adecuadamente en todos sus programas de DevSecOps.
Una parte fundamental de este planteamiento global consiste en elegir la infraestructura adecuada, capaz de satisfacer las exigencias de las aplicaciones móviles modernas y adaptativas de hoy en día, al tiempo que se amplían de forma fluida la seguridad y la privacidad para los usuarios finales, todo ello sin afectar a la experiencia de usuario. Igualmente importante es proteger el proceso de entrega de la canalización de CI/CD frente a interrupciones y retrasos.
Las distintas perspectivas importan
Durante el seminario web, Jess Steinbach, moderadora de ActualTech Media, planteó varias situaciones a Joshua Haslett, director de Alianzas Tecnológicas Estratégicas de Google Cloud, y a Peter Zavlaris, divulgador de ciberseguridad de F5.
Liderazgo empresarial
El hecho de que una organización cumpla una o varias normativas o estándares no significa que desaparezcan los riesgos y las implicaciones legales de sus aplicaciones móviles. Del mismo modo, el perfil de riesgo de las aplicaciones móviles debe evaluarse de forma distinta al de las aplicaciones web tradicionales, pero sin dejar de integrarse en la visión global del riesgo.
El panel también analizó cómo los líderes empresariales podrían asumir un papel más activo para ayudar a determinar y calcular cómo cambia el riesgo para la empresa cuando existe la posibilidad de que una aplicación móvil caiga en manos de agentes maliciosos.
Operaciones de TI y seguridad
Los equipos de TI y seguridad tienen la oportunidad de colaborar para prepararse mejor ante algunos de los cambios que deberán realizar en su infraestructura a fin de integrar correctamente la seguridad de las aplicaciones móviles en su ciclo de vida de desarrollo y entrega.
Por supuesto, el objetivo es hacerlo sin que ello afecte significativamente a las herramientas, la entrega, la estructura de los equipos ni las operaciones. El panel debatió sobre el uso de tecnología low-code para implementar y configurar la seguridad de las aplicaciones móviles, así como sobre la forma en que los resultados de pruebas de penetración o auditorías anteriores pueden ayudar a definir la estrategia, la planificación y las comunicaciones de un programa de AppSec más sólido que incluya sus aplicaciones móviles.
Operaciones de ingeniería y desarrollo
Para ayudar a este grupo a comprender mejor cómo pueden verse comprometidas las aplicaciones móviles que están desarrollando, los expertos explicaron cómo funcionan los ataques de reempaquetado y hooking de aplicaciones, y compartieron algunas reflexiones basadas en su experiencia sobre cómo los equipos de ingeniería y operaciones pueden coordinar sus esfuerzos para proteger mejor sus aplicaciones frente a estas amenazas.
Como aspecto positivo, el panel también explicó cómo los equipos de ingeniería pueden descubrir ventajas ocultas en su canalización de CI/CD si cuentan con una visión clara y un plan para abordar los riesgos de seguridad de sus aplicaciones móviles. A veces, la seguridad puede ir más allá de mitigar riesgos; en este caso, también puede mejorar los procesos y los resultados.
Ejemplos reales ilustran el valor de pasar a la acción
El grupo también analizó algunos ejemplos reales para ayudar a demostrar la necesidad de integrar el desarrollo móvil en el proceso más amplio de CI/CD y DevSecOps:
- Mantenimiento del cumplimiento normativo: los equipos pueden cumplir requisitos normativos como el RGPD y la HIPAA con un impacto mínimo o nulo en la entrega y el mantenimiento de las aplicaciones móviles.
- Operaciones optimizadas: el equipo de operaciones de TI puede gestionar mejor el aumento de las amenazas móviles sin sobrecargarse, aplicando las mejores prácticas de comunicación tanto entre sus miembros como con el equipo directivo.
- Defensa frente a amenazas en la aplicación: un equipo de DevOps puede supervisar y evaluar continuamente la postura de AppSec para defenderse eficazmente de las amenazas dirigidas contra su aplicación durante la ejecución, intercambiando información crítica con el equipo de SecOps para lograr la mejor respuesta posible.
Pon fin a la locura de los ataques móviles
Si quieres saber cómo se compara el programa de seguridad de tu aplicación móvil con las amenazas en tiempo real que atacan estos sistemas durante su ejecución, consulta el seminario web bajo demanda «Impide que los ciberdelincuentes ataquen tus aplicaciones móviles».
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.