El presente y el futuro de la protección de aplicaciones
Descripción general
En el mundo actual, centrado en las aplicaciones, realmente hay una aplicación para todo. Las organizaciones ofrecen a empleados y consumidores aplicaciones con acceso a datos para aumentar la productividad, satisfacer las necesidades empresariales y, en última instancia, lograr una ventaja competitiva. Sin embargo, a medida que proporcionan cada vez más datos confidenciales a través de las aplicaciones, también introducen riesgos cada vez mayores. Esto se debe a que los usuarios actuales están en todas partes —a menudo fuera de la red corporativa— y las aplicaciones de las que dependen pueden estar alojadas en cualquier lugar, desde centros de datos privados hasta la nube pública. Como resultado, la organización tiene menos visibilidad y control. No es de extrañar que los ciberdelincuentes aprovechen esta exposición atacando estas aplicaciones, que quedan en gran medida fuera del alcance de las medidas de seguridad tradicionales, como los cortafuegos, el software antivirus y el cifrado TLS/SSL.
Ya se trate de un ataque volumétrico de denegación de servicio (DoS), de malware basado en el navegador o de una amenaza persistente avanzada, los ataques actuales contra las aplicaciones son, en realidad, intentos de obtener o comprometer datos corporativos. Dado que cada vez más datos se transmiten mediante tráfico cifrado, la mayoría de las herramientas de seguridad actuales operan a ciegas, incapaces de descifrar esos datos para comprobar que no sean maliciosos.
Tradicionalmente, el enfoque de la seguridad de las aplicaciones se ha centrado en el ciclo de vida del desarrollo de software (SDLC), procurando garantizar que los desarrolladores sigan las prácticas recomendadas de programación segura. Aunque el código seguro sigue siendo una pieza fundamental del conjunto de medidas de seguridad, no lo es todo. El antiguo perímetro de seguridad continúa difuminándose a medida que más puntos finales y redes quedan fuera de los límites de las redes empresariales convencionales, mientras que los riesgos para las aplicaciones y los datos corporativos confidenciales siguen evolucionando.
Es necesario reforzar las medidas de seguridad para garantizar que las aplicaciones estén protegidas en todas partes. La gran mayoría de los ataques actuales se dirigen a la capa de aplicación, pero las empresas no están realizando inversiones en seguridad acordes con esta realidad. Ha llegado el momento de que las organizaciones asuman una nueva realidad: la seguridad debe centrarse más en las aplicaciones.
Un enfoque de la seguridad de las aplicaciones basado en el riesgo
Abordar la seguridad de las aplicaciones desde esta perspectiva basada en el riesgo permite a las organizaciones centrarse en los fallos de los componentes y contribuye a proporcionar la máxima protección para los datos, que son el objetivo final de la mayoría de los ataques. Al analizar todos los componentes que conforman una aplicación, las organizaciones pueden desarrollar una estrategia que proporcione la protección más sólida y adecuada para la aplicación en su conjunto. Esto se debe a que comprometer un componente de una aplicación o de la red que la distribuye —ya sea por una vulnerabilidad del código, la disponibilidad de la red o el DNS— pone en peligro toda la aplicación, así como los datos que contiene.
Componentes críticos de la seguridad de las aplicaciones
Es fundamental que las organizaciones implementen el conjunto más sólido posible de controles de seguridad de las aplicaciones para reducir el riesgo de que los datos confidenciales se vean comprometidos por un ataque dirigido a una aplicación. Entre los componentes clave de una estrategia de seguridad proactiva y de defensa en profundidad para el perímetro de las aplicaciones se incluyen las pruebas de seguridad de aplicaciones, los servicios de cortafuegos, los controles de acceso y la protección específica frente a diversos tipos de amenazas.
Pruebas de seguridad de aplicaciones
La seguridad del software sigue siendo uno de los pilares de una estrategia global de protección de aplicaciones. Las organizaciones deben garantizar que los nuevos sitios web y programas se desarrollen de forma segura, pero también deben abordar las innumerables vulnerabilidades ya presentes en sitios web existentes que se crearon sin un ciclo de vida de desarrollo de software seguro. Es importante recordar que detectar y corregir vulnerabilidades no es un mero ejercicio académico; se trata de impedir que un atacante con capacidad de decisión acceda a los sistemas empresariales y a los datos que estos protegen. Sin embargo, si no conocen bien a sus adversarios y las tácticas que emplean, los profesionales de la seguridad tendrán dificultades para desarrollar estrategias eficaces con las que hacerles frente. De cara al futuro, será imprescindible que más personas de la comunidad de la seguridad comprendan mejor el software y su seguridad.
Los escáneres de vulnerabilidades ayudan a identificar y mitigar problemas de software, tanto si se detectan antes como después de que los nuevos sitios web y aplicaciones web se publiquen en Internet. No obstante, las organizaciones pueden obtener la máxima protección integrando un escáner de vulnerabilidades robusto con un firewall de aplicaciones web de proxy completo.
Firewall de aplicaciones web
Hoy en día, contar con un firewall de aplicaciones web sólido y ágil no es un lujo, sino una necesidad. El crecimiento de las aplicaciones web alojadas en la nube ha venido acompañado de ataques y riesgos de seguridad cada vez más sofisticados que amenazan los datos empresariales.
Un firewall híbrido de aplicaciones web puede ayudar a las empresas a protegerse frente a las 10 principales amenazas de OWASP, las vulnerabilidades de las aplicaciones y los ataques de día cero, independientemente de dónde se encuentren las aplicaciones. Unas sólidas defensas contra ataques distribuidos de denegación de servicio (DDoS) de capa 7, junto con técnicas de detección y mitigación, parches virtuales y una visibilidad granular de los ataques, pueden frustrar incluso las amenazas más sofisticadas antes de que lleguen a los servidores de red. Además, la capacidad de detectar y bloquear a los atacantes antes de que accedan al centro de datos de una empresa supone una gran ventaja. Un potente firewall de aplicaciones web capaz de detener la actividad maliciosa en las primeras fases de un posible ataque permite a las organizaciones reducir significativamente el riesgo y aumentar la eficiencia del centro de datos al evitar destinar recursos al procesamiento de tráfico no deseado.
Las empresas deben buscar un firewall de aplicaciones web que:
- Proporciona una defensa proactiva contra las redes de ataques automatizados.
- Se integra con las principales herramientas de análisis dinámico de seguridad de aplicaciones (DAST) para corregir vulnerabilidades de inmediato.
- Identifica eventos sospechosos correlacionando la actividad maliciosa con las infracciones.
- Proporciona informes fáciles de leer que ayudan a agilizar el cumplimiento de normativas clave, como el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI DSS), la HIPAA y la Ley Sarbanes-Oxley.
Inspección SSL
Hoy en día, SSL está en todas partes. Los analistas predicen que el tráfico cifrado aumentará hasta representar casi el 64 % de todo el tráfico en línea de Norteamérica en 2016, frente a tan solo el 29 % en 2015.1 Las organizaciones se apresuran a cifrar la mayor parte del tráfico, desde el correo electrónico y las redes sociales hasta el vídeo en streaming. El nivel de seguridad que ofrece SSL resulta atractivo, pero, al mismo tiempo, se ha convertido en un vector de vulnerabilidad, ya que los atacantes utilizan SSL para ocultar malware a los dispositivos de seguridad que no pueden inspeccionar el tráfico cifrado.
Las soluciones de seguridad empresarial deben tener visibilidad sobre este tráfico cifrado para garantizar que no introduzca malware en la red. Una forma de combatir estas amenazas cifradas consiste en implementar una solución de «separación física» para SSL, colocando un controlador de entrega de aplicaciones (ADC) a cada lado de la cadena de visibilidad. El ADC más cercano a los usuarios descifra el tráfico saliente y envía las comunicaciones descifradas a través de los dispositivos de seguridad. Estos dispositivos, que ahora pueden ver el contenido, aplican políticas y controles para detectar y neutralizar el malware. En el otro extremo de la cadena, otro ADC vuelve a cifrar el tráfico cuando sale del centro de datos. Esta solución ofrece la flexibilidad de mantener los dispositivos de seguridad en línea y, al mismo tiempo, garantiza que puedan desempeñar la función para la que fueron diseñados.
Protección contra DDoS
Hoy en día, la mayoría de las aplicaciones se basan en Internet, por lo que un ataque DDoS volumétrico puede inutilizar una aplicación o incluso dejarla fuera de servicio. Los ataques DDoS están aumentando en escala y complejidad, y amenazan con saturar los recursos internos de empresas de todo el mundo. Estos ataques combinan la congestión provocada por un gran volumen de tráfico con técnicas sigilosas dirigidas a las aplicaciones, todo ello con la intención de interrumpir el servicio a los usuarios legítimos.
Las organizaciones deben asegurarse de contar con una estrategia sólida de protección contra ataques DDoS que garantice la disponibilidad de sus aplicaciones críticas. Considere soluciones que ofrezcan una protección integral y multicapa desde L3 hasta L7, y que puedan detener los ataques DDoS en la nube antes de que alcancen la red y el centro de datos.
Seguridad del DNS
Aunque no forma parte del enfoque tradicional de la seguridad de las aplicaciones basado en la programación segura, la estrategia de DNS de una empresa desempeña un papel fundamental en la seguridad y disponibilidad de sus aplicaciones. El DNS es la columna vertebral de Internet, además de uno de los puntos más vulnerables de la red de una organización. Las organizaciones deben protegerse frente a una variedad cada vez mayor de ataques de DNS, como las avalanchas de consultas de amplificación de DNS, los ataques de diccionario y el envenenamiento de DNS.
Una empresa puede garantizar que tanto los clientes como los empleados puedan acceder a servicios web, de aplicaciones y de bases de datos esenciales siempre que los necesiten mediante una solución que gestione de forma inteligente el tráfico global, mitigue amenazas complejas bloqueando el acceso a dominios IP maliciosos y se integre a la perfección con proveedores externos para la implementación, la gestión centralizada y el manejo seguro de las claves DNSSEC. Algunas soluciones ofrecen DNS de alto rendimiento que puede escalar rápidamente para absorber mejor los ataques DDoS.
Detección del fraude web
Hace cincuenta años, si querías atracar un banco, tenías que ir físicamente hasta allí. Ahora puedes atracarlo desde una distancia de 8.000 kilómetros. La naturaleza global de Internet hace que todo esté a la misma distancia para los atacantes, y las entidades financieras se encuentran entre los objetivos de mayor valor en Internet. Para combatir eficazmente los riesgos del fraude, las organizaciones que ofrecen servicios financieros a través de Internet deben proteger sus negocios mediante una combinación de tecnologías de seguridad.
Considere una solución que ayude a proteger frente a todo tipo de vectores de amenaza de fraude, impidiendo que los atacantes suplanten identidades, desactiven o eludan de cualquier otro modo los controles de seguridad. De este modo, las organizaciones pueden reducir el riesgo de pérdidas financieras y de propiedad intelectual, y disfrutar de la tranquilidad que ofrece una protección proactiva frente a las amenazas web emergentes y el fraude.
Controles de acceso
Algunas de las brechas de seguridad más recientes y perjudiciales se han debido a la vulneración de las credenciales de usuarios y administradores. Estas brechas podrían haberse evitado autenticando y autorizando el acceso de las personas adecuadas a la información pertinente y garantizando una conectividad segura con las aplicaciones mediante tecnologías de inicio de sesión único y autenticación multifactor. Además, los controles de identidad y acceso centralizados por la empresa pueden proporcionar una autenticación segura entre la red empresarial y las aplicaciones alojadas en la nube u ofrecidas como software como servicio (SaaS).
Conclusión: el futuro de la protección de aplicaciones
La protección de las aplicaciones entraña una gran complejidad y, con el crecimiento exponencial del Internet de las cosas y de las aplicaciones asociadas, los problemas no hacen más que aumentar. En 2010 había 200 millones de aplicaciones web; hoy hay casi mil millones.2 (https://www.f5.com/resources/white-papers/the-present-and-future-of-application-protection#footnote02) En 2020, esa cifra podría alcanzar fácilmente los cinco mil millones. Todas esas aplicaciones constituyen vectores de vulnerabilidad, y muchas de ellas contienen datos críticos que podrían ser el objetivo de los atacantes.
Al reforzar las carteras de seguridad existentes con soluciones y servicios centrados en las aplicaciones, las organizaciones pueden proteger mejor aquellas aplicaciones que pueden dejar expuestos sus datos confidenciales. Es fundamental garantizar que las aplicaciones estén protegidas, independientemente de dónde se encuentren, ya que hay mucho en juego.
Es hora de ampliar la perspectiva sobre la seguridad de las aplicaciones para que las organizaciones estén mejor preparadas para proteger eficazmente todos los componentes que conforman sus aplicaciones críticas, salvaguardar sus datos y proteger sus negocios.
PUBLICADO EL 24 DE FEBRERO DE 2016