6 Web Application Security Best Practices
Aquí hay seis prácticas esenciales para fortalecer la aplicación sitio web contra ataques:
#1: Validación y desinfección de entradas
Los ataques de inyección vienen en una variedad de formas, que incluyen:
La protección contra estas y otras formas de ataques de inyección requiere una cuidadosa validación y desinfección de las entradas. La entrada del usuario debe validar para garantizar que se ajuste a los formatos y tipos de datos esperados. Por ejemplo, los datos ingresados deben cotejar con listas de permitidos, que permiten valores válidos, o listas de bloqueados, para rechazar patrones dañinos conocidos.
Las técnicas de desinfección incluyen la eliminación o el escape de caracteres especiales y la comprobación o recorte de longitud para limitar el tamaño de entrada de caracteres. La aplicación sitio web también debe aprovechar las declaraciones preparadas o las consultas parametrizadas para las interacciones con la base de datos a fin de evitar ataques de inyección SQL.
#2: HTTPS
HTTPS encripta la información enviada entre el navegador del usuario (el cliente) y la aplicación sitio web (el servidor), desempeñando un papel importante en la autenticación y protección de los datos.
El uso del algoritmo de cifrado Transport Layer Security (TLS) versión 1.3+ lo garantiza.
Incluso si un atacante intercepta con éxito los paquetes de datos, no podrá descifrarlos sin la clave de descifrado. Obtener certificados Secure Sockets Layer (SSL) / TLS válidos de una autoridad de certificación (CA) confiable evita posibles amenazas como escuchas clandestinas, ataques de tipo "man-in-the-middle" (MitM) y secuestro de sesiones.
#3: Cifrado de datos
APLICACIÓN SITIO WEB suele almacenar datos confidenciales, entre ellos:
- Información de propiedad de la compañía
- Datos del cliente
El cifrado garantiza la seguridad de estos datos. El uso de algoritmos robustos de cifrado de datos, como Advanced cifrado Standard (AES) y Rivest-Shamir-Adleman (RSA), garantiza que, incluso si un atacante obtiene acceso al dispositivo de almacenamiento o a la base de datos, no podrá leerlo.
Tanto AES como RSA se pueden emplear a nivel de campo para proteger archivos individuales o campos de datos en una base de datos, a nivel de volumen para cifrar todo el dispositivo de almacenamiento, o a nivel de base de datos para cifrar y descifrar automáticamente los datos contenidos en volúmenes de almacenamiento de bases de datos.
#4: El principio del mínimo privilegio (PoLP)
El mínimo privilegio es un concepto fundamental en la seguridad informática. El PoLP recomienda otorgar a los usuarios las licencias más bajos posibles necesarios para realizar las tareas previstas.
En el contexto de la aplicación sitio web, el PoLP se aplica a los subsistemas, servicios automatizados y cuentas de usuario que componen el sistema de aplicación sitio web. Ya sea por medio de código o configuración, a estos componentes solo se les deben otorgar las licencias mínimas necesarias para realizar sus funciones, y no más.
Esto reduce la posibilidad de que se propaguen daños en caso de que se viole un subsistema y evita la escalada de privilegios si un usuario o una cuenta de servicio se ven comprometidos durante un incidente.
#5: Codificación de salida
La aplicación sitio web puede recibir datos introducidos por un usuario y luego volver a mostrar esos datos dentro de las páginas de la aplicación. Un ejemplo conocido de esto es la funcionalidad de comentarios del usuario.
XSS es una forma común de ataque de inyección que explota la vulnerabilidad de seguridad en los vectores de entrada del usuario, como los formularios de comentarios. La codificación de salida protege la aplicación sitio web mediante la codificación de datos de una manera que evita que se ejecuten scripts maliciosos si están presentes en los datos proporcionados por el usuario.
Por ejemplo, la codificación de salida puede convertir los caracteres de corchete angular < and > para que se muestren como texto simple en lugar de instrucciones HTML ejecutables, neutralizando así las <script> etiquetas que contienen código JS potencialmente malicioso.
#6: Control de acceso y autenticación
Las aplicaciones sitio web a menudo cuentan con una variedad de tipos de cuentas de usuario y dependen de varios métodos de autenticación para acceder a ellas. Proteger los roles, licencias y procesos de autenticación para estas cuentas reduce el riesgo de una violación de datos.
Los mecanismos de autenticación, incluidas las políticas de contraseñas seguras, el uso de autenticación de múltiples factores (MFA) y las políticas de bloqueo de cuentas, ayudan a verificar y proteger las identidades de los usuarios.
La implementación de controles de autorización restringe el acceso no autorizado a datos y funciones confidenciales, como
- Control de acceso basado en atributos (ABAC)
- Control de acceso basado en roles (RBAC)
- Control de acceso obligatorio (MAC)
La combinación de estables controles de autenticación y autorización aplica el principio de privilegios mínimos, reduce el riesgo de violaciones de datos, limita el acceso a cuentas con licencias elevadas y facilita los registros de auditoría de la actividad del usuario dentro de la aplicación.
Comentarios