Serie de vídeos de lecciones en pizarra luminosa sobre el Top 10 de OWASP de 2021

El 94 % de las aplicaciones analizadas presentaba algún tipo de fallo en el control de acceso. Estos fallos pueden provocar la divulgación, modificación o destrucción no autorizadas de datos, así como la escalada de privilegios, y derivar en la apropiación de cuentas (ATO), filtraciones de datos, multas y daños a la reputación de la marca.

Los fallos criptográficos, anteriormente conocidos como «exposición de datos sensibles», provocan la exposición de datos confidenciales y el secuestro de sesiones de usuario. A pesar de la adopción generalizada de TLS 1.3, se siguen habilitando protocolos antiguos y vulnerables.

La inyección es una amplia categoría de vectores de ataque en los que una entrada no fiable altera la ejecución de una aplicación. Esto puede provocar el robo de datos, la pérdida de integridad de los datos, la denegación de servicio y el compromiso total del sistema. La inyección ya no es el principal riesgo, pero sigue siendo una amenaza considerable.

La seguridad debe ser inherente a las aplicaciones. Un diseño seguro puede seguir teniendo defectos de implementación que den lugar a vulnerabilidades. Un diseño inseguro no puede corregirse ni siquiera con una implementación perfecta.

Las configuraciones de seguridad incorrectas son una de las principales causas de las brechas de seguridad en la nube. Descubra qué debe hacer y qué debe evitar, ya que el desarrollo de aplicaciones modernas, la reutilización de software y la proliferación de arquitecturas en distintas nubes aumentan este riesgo.

Los exploits de software de código abierto están detrás de muchos de los incidentes de seguridad más graves. La reciente vulnerabilidad de Log4j2 es quizás el riesgo más grave de esta categoría hasta la fecha.

Es fundamental confirmar la identidad y utilizar mecanismos sólidos de autenticación y gestión de sesiones para protegerse frente al abuso de la lógica de negocio. La mayoría de los ataques de autenticación se deben al uso continuado de contraseñas. Las credenciales comprometidas, las redes de bots y las herramientas sofisticadas ofrecen un atractivo retorno de la inversión para ataques automatizados como el relleno de credenciales.

Esta nueva categoría de riesgo se centra en dar por sentada la integridad de las actualizaciones de software, los datos críticos y las canalizaciones de CI/CD sin verificarla. El ataque a la cadena de suministro de SolarWinds es uno de los más dañinos que hemos visto.

Sin un registro y una supervisión adecuados de la actividad de las aplicaciones, no es posible detectar las brechas de seguridad. La falta de estas medidas afecta directamente a la visibilidad, las alertas de incidentes y el análisis forense. Cuanto más tiempo pase un atacante sin ser detectado, mayor será la probabilidad de que el sistema se vea comprometido.

Las vulnerabilidades SSRF se producen cuando una aplicación web obtiene un recurso remoto sin validar la URL proporcionada por el usuario. Los atacantes pueden forzar a la aplicación a enviar una solicitud a un destino inesperado, incluso si está protegido por un cortafuegos, una VPN u otra lista de control de acceso (ACL) de red.