¿Qué es OWASP? Introducción a las 10 principales vulnerabilidades y riesgos de OWASP

OWASP es una fundación sin ánimo de lucro que trabaja para mejorar la seguridad del software.

OWASP (Open Worldwide Application Security Project) es una comunidad abierta dedicada a ayudar a las organizaciones a diseñar, desarrollar, adquirir, operar y mantener software para crear aplicaciones seguras y fiables. Sus programas incluyen proyectos de software de código abierto dirigidos por la comunidad y conferencias locales e internacionales, con la participación de cientos de capítulos en todo el mundo y decenas de miles de miembros.

¿Por qué es importante OWASP?

OWASP desempeña un papel fundamental en la concienciación sobre los riesgos de seguridad de las aplicaciones web y proporciona valiosos recursos, herramientas, documentación y buenas prácticas para afrontar los crecientes desafíos en este ámbito. OWASP ayuda a desarrolladores, profesionales de la seguridad y organizaciones a comprender las posibles amenazas y adoptar buenas prácticas de seguridad.

OWASP mantiene una lista de los diez riesgos de seguridad más críticos para las aplicaciones web, junto con procesos, procedimientos y controles eficaces para mitigarlos. OWASP también ofrece una lista de los 10 principales riesgos de seguridad de las API para formar a quienes participan en el desarrollo y mantenimiento de API y concienciar sobre las vulnerabilidades de seguridad más comunes de las API.

La comunidad OWASP anima a particulares y organizaciones a contribuir a sus proyectos y recursos. Este enfoque colaborativo y basado en encuestas permite a la comunidad aprovechar los conocimientos y la experiencia colectivos de sus miembros, lo que da lugar a recursos completos y actualizados.

Existen riesgos de seguridad comunes tanto a las aplicaciones como a las API que deben tenerse en cuenta al implementar soluciones de seguridad. Por ejemplo:

Controles de autenticación/autorización débiles
Configuración incorrecta
Abuso de la lógica de negocio (relleno de credenciales, apropiación de cuentas)
Falsificación de solicitudes del lado del servidor (SSRF).

Los 10 principales riesgos de seguridad de las aplicaciones según OWASP

El Top 10 de OWASP es una lista ampliamente reconocida de los riesgos de seguridad más críticos para las aplicaciones web. La lista sirve de guía a desarrolladores, profesionales de la seguridad y organizaciones a la hora de priorizar sus esfuerzos para identificar y mitigar los riesgos críticos de seguridad de las aplicaciones web.

La presencia de un riesgo en la lista OWASP Top 10 no indica necesariamente su prevalencia o gravedad en todas las aplicaciones web, y los diez riesgos principales no están clasificados en un orden específico ni por prioridad.

Los 10 principales riesgos de OWASP para la seguridad de las aplicaciones web en 2021 son:

Controles de acceso deficientes. Esta vulnerabilidad se produce cuando una aplicación no aplica debidamente los controles de acceso y autorización, lo que permite a los atacantes acceder a funciones o datos sin autorización. Puede deberse a referencias directas a objetos no seguras (IDOR), que pueden surgir cuando una aplicación no valida ni autoriza la entrada del usuario utilizada como referencia directa a un objeto interno. También puede producirse por la ausencia de controles de acceso a nivel de función, cuando la aplicación solo valida los controles de acceso en la fase inicial de autenticación o autorización, pero no los aplica de forma coherente en todas sus funciones u operaciones. Un firewall de aplicaciones web (WAF) puede ayudar a proteger frente a estos ataques supervisando y aplicando controles de acceso para impedir el acceso no autorizado a objetos o recursos confidenciales.
Fallos criptográficos. Este riesgo se produce debido a una protección inadecuada de los datos sensibles tanto en tránsito como en reposo. Los fallos criptográficos pueden provocar filtraciones de datos, accesos no autorizados a información confidencial e incumplimientos de normativas de privacidad de datos, como el Reglamento General de Protección de Datos (RGPD) de la UE, y de estándares financieros como el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI DSS). Estos fallos pueden deberse a un almacenamiento criptográfico inseguro, al almacenamiento de datos en texto sin formato o a una gestión de claves poco segura. El riesgo también puede derivarse de fugas de información, que pueden tener su origen en una generación deficiente de claves o números aleatorios, o en fallos de los protocolos criptográficos.
Ataques de inyección. Las vulnerabilidades de inyección se producen cuando los atacantes insertan datos no fiables o maliciosos en lenguajes de comandos o consultas, o cuando la aplicación no valida, filtra ni depura los datos proporcionados por el usuario, lo que provoca la ejecución involuntaria de comandos maliciosos. Esta categoría de riesgo abarca NoSQL, los comandos del sistema operativo, LDAP y los ataques de inyección SQL, y también incluye el Cross-Site Scripting (XSS), mediante el cual los atacantes inyectan scripts maliciosos del lado del cliente, como JavaScript, en páginas web que visualizan otros usuarios. Esto puede dar lugar al robo de información confidencial, como credenciales de inicio de sesión, datos personales o cookies de sesión. Un WAF puede ayudar a detectar y bloquear los intentos de inyección de código malicioso mediante la inspección y el filtrado de las solicitudes entrantes, incluidos los ataques XSS reflejados (no persistentes), almacenados (persistentes) y basados en el modelo de objetos del documento (DOM), evitando que lleguen a la aplicación.
Diseño inseguro. Esta es una categoría amplia que engloba distintas debilidades, como la ausencia o ineficacia de controles de seguridad y los fallos arquitectónicos. Estos fallos pueden producirse cuando una aplicación se diseña para depender de procesos intrínsecamente inseguros o cuando no se implementan los controles de seguridad necesarios para protegerse frente a ataques específicos. Estos riesgos pueden reducirse mediante un mayor uso del modelado de amenazas, los patrones de diseño seguro y las arquitecturas de referencia.
Configuraciones de seguridad incorrectas. La falta de refuerzo de la seguridad en los frameworks de aplicaciones web, las plataformas, los servidores o los controles de seguridad puede dar lugar a accesos no autorizados, la exposición de información confidencial u otras vulnerabilidades de seguridad. Los riesgos derivados de configuraciones de seguridad incorrectas también pueden deberse a permisos mal configurados en servicios en la nube o a la instalación o activación de funciones innecesarias, como puertos, servicios, cuentas o privilegios que no se utilizan. La configuración incorrecta tanto de aplicaciones web como de API supone un riesgo importante, ya que los principales proveedores de servicios en la nube aplican distintas configuraciones de seguridad predeterminadas y la arquitectura está cada vez más descentralizada y distribuida en un entorno multinube.
Componentes vulnerables y obsoletos. El uso de componentes obsoletos, sin parches o vulnerables, como bibliotecas, frameworks o complementos, puede exponer las aplicaciones a fallos de seguridad conocidos, lo que aumenta el riesgo de que sean explotados. Estos riesgos pueden deberse al uso de software sin soporte o desactualizado, incluidos el sistema operativo (SO), el servidor web o de aplicaciones, el sistema de gestión de bases de datos (SGBD), las aplicaciones, las API, así como todos los componentes, entornos de ejecución y bibliotecas. Estas amenazas son especialmente peligrosas cuando las organizaciones no disponen de medidas oportunas y basadas en el riesgo para corregir o actualizar la plataforma, los frameworks y las dependencias subyacentes de un sistema, lo que lo deja expuesto innecesariamente durante días o semanas a riesgos conocidos. Las cadenas de suministro de software complejas y la automatización mediante canalizaciones de CI/CD aumentan el riesgo de introducir software vulnerable en la infraestructura de TI. Un WAF puede servir como medida provisional esencial para proteger frente a la explotación de vulnerabilidades.
Fallos de identificación y autenticación. Las deficiencias en la autenticación y en la gestión de identidades y sesiones pueden permitir que los atacantes comprometan cuentas de usuario, contraseñas o tokens de sesión, o que aprovechen una gestión de sesiones poco segura. Los fallos en estas áreas pueden posibilitar ataques automatizados como el relleno de credenciales. Las vulnerabilidades relacionadas con las contraseñas son la causa más habitual de estos riesgos, ya que muchas personas reutilizan contraseñas o utilizan contraseñas predeterminadas, poco seguras o ampliamente conocidas. Los problemas de gestión de sesiones también pueden dar lugar a ataques relacionados con la autenticación, especialmente si las sesiones de usuario o los tokens de autenticación no se invalidan correctamente al cerrar sesión o tras un periodo de inactividad. Los ataques que eluden los controles de autenticación suponen un riesgo cada vez mayor tanto para las aplicaciones web como para las API, tal como se detalla en los proyectos OWASP Top 10, API Security Top 10 y Automated Threats.
Fallos de integridad del software y los datos. Estas vulnerabilidades se deben a que el código y la infraestructura de una aplicación no protegen frente a vulneraciones de la integridad de los datos y el software. Esto puede ocurrir cuando una aplicación depende de complementos, bibliotecas o módulos procedentes de fuentes, repositorios y CDN que no son de confianza. También puede suceder durante actualizaciones de software, modificaciones de datos confidenciales y cambios no validados en la canalización de CI/CD. Los atacantes podrían cargar sus propias actualizaciones para que se distribuyan y ejecuten en todas las instalaciones. La deserialización insegura, que se produce cuando una aplicación recibe datos serializados que no son de confianza y los procesa sin comprobar que sean válidos, también forma parte de esta categoría de riesgo y permite ataques como la ejecución remota de código (RCE) y la escalada de privilegios.
Fallos en el registro y la supervisión de la seguridad. Un registro y una supervisión inadecuados pueden impedir la detección y respuesta oportunas ante incidentes de seguridad, lo que dificulta identificar y mitigar ataques o actividades no autorizadas. Esto puede implicar que no se identifiquen ni registren eventos auditables, como inicios de sesión, intentos fallidos de inicio de sesión y transacciones de alto valor, y que las aplicaciones no detecten ataques activos en tiempo real.
Falsificación de solicitudes del lado del servidor (SSRF). Estas vulnerabilidades se producen cuando una aplicación no valida ni depura una URL introducida por un usuario antes de obtener datos de un recurso remoto. Los atacantes pueden aprovechar estos fallos para obligar a las aplicaciones a acceder a destinos web maliciosos, aunque estén protegidas por un cortafuegos u otro mecanismo de defensa. Estos ataques también pueden producirse si el recurso atacado mantiene relaciones de confianza con otros sistemas, como un servicio de metadatos en la nube o API de backend, lo que permite a un atacante enviar solicitudes a esos servicios de confianza y extraer información confidencial o realizar acciones no autorizadas. Para ayudar a mitigar la SSRF, diseñe sistemas con acceso de privilegios mínimos y utilice un WAF para definir explícitamente los parámetros del identificador uniforme de recursos (URI) en su política de seguridad y permitir o impedir el acceso de los hosts correspondientes.

El Top 10 de OWASP de 2021 refleja algunas categorías nuevas y cambios de nomenclatura con respecto al anterior Top 10 de OWASP de 2017. Estos cambios incluyeron la integración de la amenaza de riesgo Entidades Externas XML (XXE) de 2017 en la categoría Configuración de Seguridad Incorrecta de 2021 y la incorporación de los Ataques de Secuencias de Comandos en Sitios Cruzados (XSS) de 2017 a la categoría Inyección de 2021. El riesgo Deserialización Insegura de 2017 forma ahora parte de la categoría Errores de Integridad del Software y los Datos de 2021.

Otras publicaciones de OWASP

OWASP patrocina actualmente 293 proyectos, incluidos los siguientes 16 proyectos insignia de OWASP, que aportan valor estratégico tanto a OWASP como a la seguridad de las aplicaciones en su conjunto.

Proyecto OWASP Amass, que ha desarrollado una herramienta para ayudar a los profesionales de la seguridad de la información a cartografiar las superficies de ataque de las redes y detectar activos externos mediante técnicas de recopilación de información de fuentes abiertas y reconocimiento activo.
Proyecto del Estándar de Verificación de Seguridad de Aplicaciones de OWASP (ASVS), que proporciona una base para comprobar los controles técnicos de seguridad de las aplicaciones web y también ofrece a los desarrolladores una lista de requisitos para un desarrollo seguro.
Serie de hojas de referencia de OWASP, creada para ofrecer un conjunto de guías de buenas prácticas fáciles de seguir dirigidas a desarrolladores y responsables de la seguridad de aplicaciones. En lugar de centrarse en prácticas recomendadas detalladas que resultan poco viables para muchos desarrolladores y aplicaciones, estas guías pretenden ofrecer buenas prácticas que la mayoría de los desarrolladores realmente puedan aplicar.
OWASP CycloneDX, un estándar integral de lista de materiales (BOM) que ofrece funcionalidades avanzadas para reducir los riesgos cibernéticos en la cadena de suministro.
OWASP Defectdojo, que es una herramienta de código abierto para la gestión de vulnerabilidades que agiliza el proceso de pruebas mediante plantillas, generación de informes, métricas y herramientas básicas de autoservicio.
OWASP Dependency-Check, que es una herramienta de análisis de composición de software (SCA) que trata de detectar vulnerabilidades divulgadas públicamente en las dependencias de un proyecto. Para ello, determina si existe un identificador de enumeración de plataformas comunes (CPE) para una dependencia determinada. Si lo encuentra, genera un informe con enlaces a las entradas asociadas de vulnerabilidades y exposiciones comunes (CVE).
OWASP Dependency-Track, una plataforma inteligente de análisis de componentes que permite a las organizaciones identificar y reducir los riesgos en la cadena de suministro de software.
OWASP Juice Shop, que es quizá la aplicación web insegura más moderna y sofisticada utilizada en formaciones sobre seguridad, demostraciones de concienciación, competiciones de captura la bandera y como banco de pruebas para herramientas de seguridad. Juice Shop incluye vulnerabilidades de todo el OWASP Top Ten junto con muchos otros fallos de seguridad presentes en aplicaciones reales.
OWASP Mobile Application Security, que es el proyecto insignia de OWASP para proporcionar un estándar de seguridad para aplicaciones móviles. También incluye una guía de pruebas exhaustiva que abarca los procesos, las técnicas y las herramientas utilizados durante las pruebas de seguridad de aplicaciones móviles, así como un conjunto completo de casos de prueba que permite a los evaluadores ofrecer resultados coherentes y completos.
Conjunto de reglas básicas de OWASP ModSecurity, que consiste en un conjunto de reglas genéricas de detección de ataques para su uso con ModSecurity o con cortafuegos de aplicaciones web compatibles. El objetivo del CRS es proteger las aplicaciones web frente a una amplia variedad de ataques, incluidos los recogidos en el OWASP Top Ten, con un mínimo de falsos positivos.
Proyecto OWTF de OWASP (Offensive Web Testing Framework), un marco de código abierto para realizar pruebas de penetración en aplicaciones web, diseñado para evaluar y comprobar la seguridad de dichas aplicaciones. El principal objetivo de OWTF es ayudar a los profesionales de la seguridad y a los especialistas en pruebas de penetración a automatizar el proceso de evaluación y detección de vulnerabilidades en aplicaciones web, lo que les permite identificar y subsanar las deficiencias de seguridad de forma más eficaz.
OWASP SAMM (Modelo de Madurez para el Aseguramiento del Software), que proporciona una forma eficaz y cuantificable de analizar y mejorar el modelado del ciclo de vida del desarrollo seguro. SAMM abarca todo el ciclo de vida del software y es independiente de la tecnología y los procesos.
OWASP Security Knowledge Framework, que es una aplicación web que explica los principios de programación segura en varios lenguajes de programación y tiene como objetivo ayudar a los desarrolladores a crear aplicaciones seguras desde el diseño.
OWASP Security Shepherd, una plataforma de formación en seguridad de aplicaciones web y móviles diseñada para fomentar y mejorar la concienciación sobre seguridad entre personas con distintos niveles de conocimientos. El objetivo de este proyecto es ayudar tanto a principiantes en AppSec como a ingenieros experimentados a perfeccionar sus habilidades en pruebas de penetración hasta alcanzar un nivel experto en seguridad.
Guía de pruebas de seguridad web de OWASP, una guía completa para evaluar la seguridad de las aplicaciones y los servicios web. Proporciona un marco de buenas prácticas utilizado por expertos en pruebas de penetración y organizaciones de todo el mundo.
OWASP ZAP, una herramienta de pruebas de seguridad para aplicaciones web diseñada para ayudar a los profesionales de la seguridad y a los desarrolladores a identificar y mitigar vulnerabilidades de seguridad en aplicaciones web durante las fases de desarrollo y pruebas.

Argumentos a favor de los controles de seguridad integrados

OWASP desempeña un papel fundamental en la labor continua de mejorar la seguridad del software, concienciando sobre los riesgos de seguridad de las aplicaciones web y promoviendo buenas prácticas entre desarrolladores, profesionales de la seguridad y organizaciones. Como proyecto impulsado por la comunidad, OWASP reúne a expertos y entusiastas para colaborar en la mejora de la seguridad de las aplicaciones web, contribuyendo a crear una cultura consciente de la importancia de la seguridad que fomente prácticas de programación segura y metodologías de desarrollo seguras.

Además, OWASP ofrece una gran variedad de herramientas, documentos y recursos gratuitos y de código abierto que permiten a las organizaciones reforzar su postura de seguridad, entre ellos el OWASP Top 10, el OWASP API Security Top 10 y el proyecto Automated Threats to Web Applications. Otras iniciativas de OWASP incluyen:

La herramienta de registro de errores de OWASP (BLT), que permite a los usuarios de Internet informar de cualquier problema que encuentren en línea y contribuir a mejorar la seguridad en Internet promoviendo la divulgación responsable y fomentando un entorno en línea más seguro.
OWASP CSRFGuard, una biblioteca que protege las aplicaciones web frente a ataques de falsificación de solicitudes entre sitios (CSRF).
Varios repositorios en GitHub, incluida la Cheat Sheet Series, que ofrece una recopilación concisa de información de gran valor sobre temas específicos de seguridad de aplicaciones.
Los 10 principales riesgos de seguridad del lado del cliente de OWASP, una recopilación de vulnerabilidades específicas habituales en las aplicaciones que se ejecutan en el navegador.
Los 10 principales riesgos de seguridad de OWASP para aplicaciones nativas de la nube, un proyecto aún en desarrollo que proporcionará información sobre los riesgos de seguridad más destacados para las aplicaciones nativas de la nube, los desafíos que plantean y cómo superarlos.

Participa haciéndote miembro de OWASP o asistiendo a una reunión de un capítulo local, que son gratuitas y están abiertas tanto a miembros como a quienes no lo son. Además, OWASP organiza cada año cerca de una docena de eventos mundiales y regionales, que ofrecen excelentes oportunidades para mejorar tus competencias profesionales, ampliar tu red de contactos y conocer las nuevas tendencias del sector.

F5 aborda los riesgos de seguridad de OWASP

F5 apoya a la Fundación OWASP y su compromiso con la mejora de la seguridad del software y la concienciación sobre los riesgos y las vulnerabilidades de seguridad de las aplicaciones web. Soluciones F5 Web Application Firewall bloquean y mitigan un amplio espectro de riesgos derivados del Top 10 de OWASP.

Las soluciones WAF de F5 combinan protecciones basadas en firmas y en el comportamiento, incluida la inteligencia sobre amenazas de F5 Labs y la seguridad basada en aprendizaje automático, para mantenerse al día frente a las amenazas emergentes. Reducen la carga y la complejidad que supone proteger de forma coherente las aplicaciones en entornos de nube, locales y perimetrales, al tiempo que simplifican la gestión mediante una infraestructura SaaS centralizada. Los WAF de F5 también agilizan la seguridad de las aplicaciones al integrar las protecciones en los marcos de desarrollo y las canalizaciones de CI/CD, con funciones de seguridad esenciales, orquestación centralizada y supervisión mediante un único panel que ofrece una visión de 360 grados del rendimiento de las aplicaciones y de los eventos de seguridad en aplicaciones distribuidas.

F5 también aborda los riesgos identificados en el OWASP API Security Top 10 con soluciones que protegen frente a la creciente superficie de ataque y las amenazas emergentes a medida que evolucionan las aplicaciones y aumentan las implementaciones de API. Las soluciones de protección de aplicaciones web y API (WAAP) de F5 protegen toda la superficie de ataque de las aplicaciones modernas mediante una protección integral que incluye WAF, seguridad de API, mitigación de ataques DDoS de las capas 3 a 7 y defensa contra bots para combatir las amenazas automatizadas y el fraude. La plataforma distribuida facilita la implementación de políticas coherentes y el escalado de la seguridad en todo su entorno de aplicaciones y API, independientemente de dónde estén alojadas, así como la integración de la seguridad en el ciclo de vida de las API y en ecosistemas más amplios.

F5 también ofrece soluciones para abordar los riesgos descritos en el proyecto de OWASP sobre amenazas automatizadas para aplicaciones web.F5 Distributed Cloud Bot Defense evita el fraude y los abusos capaces de eludir las soluciones de gestión de bots existentes, y proporciona supervisión e inteligencia en tiempo real, así como análisis retrospectivos basados en aprendizaje automático, para proteger a las organizaciones frente a ataques automatizados sin generar fricción para los usuarios ni alterar la experiencia del cliente. Distributed Cloud Bot Defense mantiene su eficacia independientemente de cómo los atacantes modifiquen sus herramientas, tanto si los ataques pasan de las aplicaciones web a las API como si intentan eludir las defensas contra la automatización mediante la falsificación de datos de telemetría o el uso de personas para resolver CAPTCHA.

F5 también ofrece protección DDoS multicapa para una seguridad avanzada en línea como servicio gestionado de mitigación en la nube que detecta y mitiga en tiempo real ataques a gran escala dirigidos a la red, los protocolos y las aplicaciones; estas mismas protecciones también están disponibles como soluciones locales de hardware y software, así como soluciones híbridas. F5 Distributed Cloud DDoS Mitigation protege frente a ataques volumétricos y específicos de aplicaciones en las capas 3 y 4, así como frente a ataques avanzados en la capa 7, antes de que alcancen su infraestructura de red y sus aplicaciones.

Para obtener más información sobre cómo los componentes de la plataforma F5 ADSP protegen frente a los riesgos de seguridad de OWASP, consulte los siguientes recursos:

Contenido relacionado