What is an Application Vulnerability?

Explotaciones de vulnerabilidad de aplicaciones comunes

Si bien periódicamente se crean nuevos exploits y días cero, estos a menudo aprovechan un pequeño conjunto de vulnerabilidades. Muchas de estas vulnerabilidades se conocen desde hace años, pero siguen apareciendo en el código de la aplicación.

La lista OWASP Top Ten es un recurso bien conocido que destaca algunas de las vulnerabilidades más comunes e impactantes que aparecen en la aplicación (con un enfoque en la aplicación web). La versión actual de la lista OWASP Top Ten se publicó en 2021 e incluye las siguientes diez vulnerabilidades:

1. Control de acceso roto
2. Fallas criptográficas
3. Inyección
4. Diseño inseguro
5. Mal configuración de seguridad
6. Componentes vulnerables y obsoletos
7. Fallos de identificación y autenticación
8. Fallas de integridad de datos y software
9. Fallos de registro y monitoreo de seguridad
10. Falsificación de solicitudes del lado del servidor

Esta lista describe clases generales de vulnerabilidad con un enfoque en las causas fundamentales de un problema. La Enumeración de Debilidades Comunes (CWE) proporciona información sobre casos específicos de un problema en particular. Cada una de las diez principales vulnerabilidades de OWASP contiene una lista de uno o más CWE asociados. Por ejemplo, las fallas criptográficas incluyen una lista de veintinueve CWs mapeados, como el uso de una clave criptográfica codificada o la verificación incorrecta de firmas criptográficas.

Formas de remediar la vulnerabilidad de la aplicación

A medida que los equipos de desarrollo adoptan prácticas de DevSecOps , automatizar la gestión de vulnerabilidades es esencial para garantizar la seguridad y al mismo tiempo cumplir con los objetivos de desarrollo y lanzamiento. Los equipos de desarrollo pueden utilizar una variedad de herramientas para identificar la vulnerabilidad de la aplicación, que incluyen:

• Pruebas de seguridad de aplicaciones estáticas (SAST): Las herramientas SAST analizan el código fuente de una aplicación sin ejecutarla. Esto hace posible identificar algunas vulnerabilidades en las primeras etapas del ciclo de vida del desarrollo de software cuando una aplicación no se encuentra en un estado ejecutable.
• Pruebas de seguridad de aplicaciones dinámicas (DAST): las soluciones DAST interactúan con una aplicación en ejecución y realizan una evaluación de vulnerabilidad de caja negra. Las herramientas DAST están diseñadas para buscar vulnerabilidades conocidas y desconocidas dentro de una aplicación mediante el envío de entradas maliciosas comunes, así como solicitudes aleatorias y mal formadas generadas mediante fuzzing.
• Pruebas de seguridad de aplicaciones interactivas (IAST): las soluciones IAST utilizan instrumentación para obtener visibilidad de la aplicación en ejecución. Con esta visibilidad interna, las soluciones IAST pueden identificar problemas que pueden no ser detectables con un enfoque DAST de caja negra.
• Análisis de composición de software (SCA): la mayoría de las aplicaciones incluyen código de terceros, como bibliotecas y dependencias, que también pueden contener vulnerabilidades explotables. SCA proporciona visibilidad del código externo utilizado dentro de una aplicación, lo que permite identificar y remediar vulnerabilidades conocidas en este software.

Un flujo de trabajo de DevSecOps eficaz integrará la mayoría o todos estos enfoques en procesos de CI/CD automatizados. Esto maximiza la probabilidad de que la vulnerabilidad se identifique y remedie lo más rápido posible y, al mismo tiempo, minimiza los gastos generales y las interrupciones para los desarrolladores.