Blog

¿Qué es la desconfiguración de la seguridad? | Secure Code Warrior

Jaap Karan Singh
Publicado el 21 de febrero de 2019

El término desconfiguración de la seguridad es un poco un cajón de sastre que incluye vulnerabilidades comunes introducidas debido a los ajustes de configuración de la aplicación, en lugar de un mal código. Las más comunes normalmente implican errores simples que pueden tener grandes consecuencias para las organizaciones que despliegan aplicaciones con esas malas configuraciones.

Algunos de los errores de seguridad más comunes son no desactivar los procesos de depuración en las aplicaciones antes de desplegarlas en el entorno de producción, no dejar que las aplicaciones se actualicen automáticamente con los últimos parches, olvidarse de desactivar las funciones por defecto, así como una serie de otras pequeñas cosas que pueden suponer un gran problema en el futuro.

La mejor manera de combatir las vulnerabilidades de desconfiguración de seguridad es eliminarlas de su red antes de que se desplieguen en el entorno de producción.

En este episodio, aprenderemos:

  • Cómo los hackers encuentran y explotan los errores de seguridad más comunes
  • Por qué pueden ser peligrosas las desconfiguraciones de seguridad
  • Políticas y técnicas que se pueden emplear para encontrar y arreglar los fallos de seguridad.

¿Cómo aprovechan los atacantes los errores de seguridad más comunes?

Hay muchos errores de seguridad comunes. Las más populares son bien conocidas en las comunidades de hackers y casi siempre se buscan cuando se buscan vulnerabilidades. Algunas de las configuraciones erróneas más comunes incluyen, pero no se limitan a:

  • No desactivar las cuentas por defecto con contraseñas conocidas.
  • Dejar activadas las funciones de depuración en producción que revelan las trazas de pila u otros mensajes de error a los usuarios.
  • Funciones innecesarias o por defecto que se dejan activadas, como puertos, servicios, páginas, cuentas o privilegios innecesarios.
  • No utilizar cabeceras de seguridad, o utilizar valores inseguros para ellas.

Algunas configuraciones erróneas son bien conocidas y triviales de explotar. Por ejemplo, si se habilita una contraseña por defecto, un atacante sólo tendría que introducirla junto con el nombre de usuario por defecto para obtener acceso de alto nivel a un sistema.

Otras configuraciones erróneas requieren un poco más de trabajo, como cuando se dejan activadas las funciones de depuración después de desplegar una aplicación. En ese caso, un atacante intenta provocar un error y registra la información devuelta. Armado con esos datos, puede lanzar ataques muy específicos que pueden exponer información sobre el sistema o la ubicación de los datos que están tratando de robar.

¿Por qué son tan peligrosas las desconfiguraciones de seguridad?

Dependiendo de la desconfiguración de seguridad exacta que se explote, el daño puede ir desde la exposición de la información hasta el compromiso completo de la aplicación o el servidor. Cualquier desconfiguración de seguridad proporciona un agujero en las defensas que los atacantes hábiles pueden aprovechar. En el caso de algunas vulnerabilidades, como tener activadas las contraseñas por defecto, incluso un hacker sin experiencia puede explotarlas. Después de todo, ¡no hace falta ser un genio para buscar contraseñas por defecto e introducirlas!

Eliminación de la amenaza que suponen los fallos de seguridad

La mejor manera de evitar errores de seguridad es definir una configuración segura para todas las aplicaciones y programas que se despliegan en una organización. Esto debería incluir cosas como la desactivación de puertos innecesarios, la eliminación de programas y funciones por defecto que no utilice la aplicación, y la desactivación o el cambio de todos los usuarios y contraseñas por defecto. También debe incluir la comprobación y el tratamiento de errores de configuración comunes, como desactivar siempre el modo de depuración en el software antes de que llegue al entorno de producción.

Una vez definidos, debe establecerse un proceso por el que pasen todas las aplicaciones antes de ser desplegadas. Lo ideal sería que alguien estuviera a cargo de este proceso, con el poder suficiente para hacerlo cumplir, y también con la responsabilidad en caso de que se produzca un error de configuración de seguridad común.

Más información sobre los fallos de seguridad

Para más información, puedes consultar la lista OWASP de los errores de seguridad más comunes. También puedes poner a prueba tus nuevos conocimientos defensivos con una demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .

¿Preparado para desbaratar un fallo de seguridad ahora mismo? Dirígete a nuestra plataforma y desafíate a ti mismo [Empieza aquí]

Ver recurso
Ver recurso

¿Qué es una desconfiguración de seguridad? Encuentre las desconfiguraciones de seguridad más populares y cómo prevenir las vulnerabilidades. Aprenda de Secure Code Warrior.

¿Quiere saber más?

Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.

Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.

Reservar una demostración
Compartir en:
Autor
Jaap Karan Singh
Publicado el 21 de febrero de 2019

Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.

Compartir en:

El término desconfiguración de la seguridad es un poco un cajón de sastre que incluye vulnerabilidades comunes introducidas debido a los ajustes de configuración de la aplicación, en lugar de un mal código. Las más comunes normalmente implican errores simples que pueden tener grandes consecuencias para las organizaciones que despliegan aplicaciones con esas malas configuraciones.

Algunos de los errores de seguridad más comunes son no desactivar los procesos de depuración en las aplicaciones antes de desplegarlas en el entorno de producción, no dejar que las aplicaciones se actualicen automáticamente con los últimos parches, olvidarse de desactivar las funciones por defecto, así como una serie de otras pequeñas cosas que pueden suponer un gran problema en el futuro.

La mejor manera de combatir las vulnerabilidades de desconfiguración de seguridad es eliminarlas de su red antes de que se desplieguen en el entorno de producción.

En este episodio, aprenderemos:

  • Cómo los hackers encuentran y explotan los errores de seguridad más comunes
  • Por qué pueden ser peligrosas las desconfiguraciones de seguridad
  • Políticas y técnicas que se pueden emplear para encontrar y arreglar los fallos de seguridad.

¿Cómo aprovechan los atacantes los errores de seguridad más comunes?

Hay muchos errores de seguridad comunes. Las más populares son bien conocidas en las comunidades de hackers y casi siempre se buscan cuando se buscan vulnerabilidades. Algunas de las configuraciones erróneas más comunes incluyen, pero no se limitan a:

  • No desactivar las cuentas por defecto con contraseñas conocidas.
  • Dejar activadas las funciones de depuración en producción que revelan las trazas de pila u otros mensajes de error a los usuarios.
  • Funciones innecesarias o por defecto que se dejan activadas, como puertos, servicios, páginas, cuentas o privilegios innecesarios.
  • No utilizar cabeceras de seguridad, o utilizar valores inseguros para ellas.

Algunas configuraciones erróneas son bien conocidas y triviales de explotar. Por ejemplo, si se habilita una contraseña por defecto, un atacante sólo tendría que introducirla junto con el nombre de usuario por defecto para obtener acceso de alto nivel a un sistema.

Otras configuraciones erróneas requieren un poco más de trabajo, como cuando se dejan activadas las funciones de depuración después de desplegar una aplicación. En ese caso, un atacante intenta provocar un error y registra la información devuelta. Armado con esos datos, puede lanzar ataques muy específicos que pueden exponer información sobre el sistema o la ubicación de los datos que están tratando de robar.

¿Por qué son tan peligrosas las desconfiguraciones de seguridad?

Dependiendo de la desconfiguración de seguridad exacta que se explote, el daño puede ir desde la exposición de la información hasta el compromiso completo de la aplicación o el servidor. Cualquier desconfiguración de seguridad proporciona un agujero en las defensas que los atacantes hábiles pueden aprovechar. En el caso de algunas vulnerabilidades, como tener activadas las contraseñas por defecto, incluso un hacker sin experiencia puede explotarlas. Después de todo, ¡no hace falta ser un genio para buscar contraseñas por defecto e introducirlas!

Eliminación de la amenaza que suponen los fallos de seguridad

La mejor manera de evitar errores de seguridad es definir una configuración segura para todas las aplicaciones y programas que se despliegan en una organización. Esto debería incluir cosas como la desactivación de puertos innecesarios, la eliminación de programas y funciones por defecto que no utilice la aplicación, y la desactivación o el cambio de todos los usuarios y contraseñas por defecto. También debe incluir la comprobación y el tratamiento de errores de configuración comunes, como desactivar siempre el modo de depuración en el software antes de que llegue al entorno de producción.

Una vez definidos, debe establecerse un proceso por el que pasen todas las aplicaciones antes de ser desplegadas. Lo ideal sería que alguien estuviera a cargo de este proceso, con el poder suficiente para hacerlo cumplir, y también con la responsabilidad en caso de que se produzca un error de configuración de seguridad común.

Más información sobre los fallos de seguridad

Para más información, puedes consultar la lista OWASP de los errores de seguridad más comunes. También puedes poner a prueba tus nuevos conocimientos defensivos con una demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .

¿Preparado para desbaratar un fallo de seguridad ahora mismo? Dirígete a nuestra plataforma y desafíate a ti mismo [Empieza aquí]

Ver recurso
Ver recurso

Rellene el siguiente formulario para descargar el informe

Nos gustaría contar con su permiso para enviarle información sobre nuestros productos y/o temas relacionados con la codificación segura. Siempre trataremos sus datos personales con el máximo cuidado y nunca los venderemos a otras empresas con fines de marketing.

Enviar
Para enviar el formulario, habilite las cookies "Analytics". Siéntase libre de desactivarlas de nuevo una vez que haya terminado.

El término desconfiguración de la seguridad es un poco un cajón de sastre que incluye vulnerabilidades comunes introducidas debido a los ajustes de configuración de la aplicación, en lugar de un mal código. Las más comunes normalmente implican errores simples que pueden tener grandes consecuencias para las organizaciones que despliegan aplicaciones con esas malas configuraciones.

Algunos de los errores de seguridad más comunes son no desactivar los procesos de depuración en las aplicaciones antes de desplegarlas en el entorno de producción, no dejar que las aplicaciones se actualicen automáticamente con los últimos parches, olvidarse de desactivar las funciones por defecto, así como una serie de otras pequeñas cosas que pueden suponer un gran problema en el futuro.

La mejor manera de combatir las vulnerabilidades de desconfiguración de seguridad es eliminarlas de su red antes de que se desplieguen en el entorno de producción.

En este episodio, aprenderemos:

  • Cómo los hackers encuentran y explotan los errores de seguridad más comunes
  • Por qué pueden ser peligrosas las desconfiguraciones de seguridad
  • Políticas y técnicas que se pueden emplear para encontrar y arreglar los fallos de seguridad.

¿Cómo aprovechan los atacantes los errores de seguridad más comunes?

Hay muchos errores de seguridad comunes. Las más populares son bien conocidas en las comunidades de hackers y casi siempre se buscan cuando se buscan vulnerabilidades. Algunas de las configuraciones erróneas más comunes incluyen, pero no se limitan a:

  • No desactivar las cuentas por defecto con contraseñas conocidas.
  • Dejar activadas las funciones de depuración en producción que revelan las trazas de pila u otros mensajes de error a los usuarios.
  • Funciones innecesarias o por defecto que se dejan activadas, como puertos, servicios, páginas, cuentas o privilegios innecesarios.
  • No utilizar cabeceras de seguridad, o utilizar valores inseguros para ellas.

Algunas configuraciones erróneas son bien conocidas y triviales de explotar. Por ejemplo, si se habilita una contraseña por defecto, un atacante sólo tendría que introducirla junto con el nombre de usuario por defecto para obtener acceso de alto nivel a un sistema.

Otras configuraciones erróneas requieren un poco más de trabajo, como cuando se dejan activadas las funciones de depuración después de desplegar una aplicación. En ese caso, un atacante intenta provocar un error y registra la información devuelta. Armado con esos datos, puede lanzar ataques muy específicos que pueden exponer información sobre el sistema o la ubicación de los datos que están tratando de robar.

¿Por qué son tan peligrosas las desconfiguraciones de seguridad?

Dependiendo de la desconfiguración de seguridad exacta que se explote, el daño puede ir desde la exposición de la información hasta el compromiso completo de la aplicación o el servidor. Cualquier desconfiguración de seguridad proporciona un agujero en las defensas que los atacantes hábiles pueden aprovechar. En el caso de algunas vulnerabilidades, como tener activadas las contraseñas por defecto, incluso un hacker sin experiencia puede explotarlas. Después de todo, ¡no hace falta ser un genio para buscar contraseñas por defecto e introducirlas!

Eliminación de la amenaza que suponen los fallos de seguridad

La mejor manera de evitar errores de seguridad es definir una configuración segura para todas las aplicaciones y programas que se despliegan en una organización. Esto debería incluir cosas como la desactivación de puertos innecesarios, la eliminación de programas y funciones por defecto que no utilice la aplicación, y la desactivación o el cambio de todos los usuarios y contraseñas por defecto. También debe incluir la comprobación y el tratamiento de errores de configuración comunes, como desactivar siempre el modo de depuración en el software antes de que llegue al entorno de producción.

Una vez definidos, debe establecerse un proceso por el que pasen todas las aplicaciones antes de ser desplegadas. Lo ideal sería que alguien estuviera a cargo de este proceso, con el poder suficiente para hacerlo cumplir, y también con la responsabilidad en caso de que se produzca un error de configuración de seguridad común.

Más información sobre los fallos de seguridad

Para más información, puedes consultar la lista OWASP de los errores de seguridad más comunes. También puedes poner a prueba tus nuevos conocimientos defensivos con una demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .

¿Preparado para desbaratar un fallo de seguridad ahora mismo? Dirígete a nuestra plataforma y desafíate a ti mismo [Empieza aquí]

Acceso a recursos

Haga clic en el siguiente enlace y descargue el PDF de este recurso.

Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.

Ver el informeReservar una demostración
Compartir en:
¿Quiere saber más?

Compartir en:
Autor
Jaap Karan Singh
Publicado el 21 de febrero de 2019

Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.

Compartir en:

El término desconfiguración de la seguridad es un poco un cajón de sastre que incluye vulnerabilidades comunes introducidas debido a los ajustes de configuración de la aplicación, en lugar de un mal código. Las más comunes normalmente implican errores simples que pueden tener grandes consecuencias para las organizaciones que despliegan aplicaciones con esas malas configuraciones.

Algunos de los errores de seguridad más comunes son no desactivar los procesos de depuración en las aplicaciones antes de desplegarlas en el entorno de producción, no dejar que las aplicaciones se actualicen automáticamente con los últimos parches, olvidarse de desactivar las funciones por defecto, así como una serie de otras pequeñas cosas que pueden suponer un gran problema en el futuro.

La mejor manera de combatir las vulnerabilidades de desconfiguración de seguridad es eliminarlas de su red antes de que se desplieguen en el entorno de producción.

En este episodio, aprenderemos:

  • Cómo los hackers encuentran y explotan los errores de seguridad más comunes
  • Por qué pueden ser peligrosas las desconfiguraciones de seguridad
  • Políticas y técnicas que se pueden emplear para encontrar y arreglar los fallos de seguridad.

¿Cómo aprovechan los atacantes los errores de seguridad más comunes?

Hay muchos errores de seguridad comunes. Las más populares son bien conocidas en las comunidades de hackers y casi siempre se buscan cuando se buscan vulnerabilidades. Algunas de las configuraciones erróneas más comunes incluyen, pero no se limitan a:

  • No desactivar las cuentas por defecto con contraseñas conocidas.
  • Dejar activadas las funciones de depuración en producción que revelan las trazas de pila u otros mensajes de error a los usuarios.
  • Funciones innecesarias o por defecto que se dejan activadas, como puertos, servicios, páginas, cuentas o privilegios innecesarios.
  • No utilizar cabeceras de seguridad, o utilizar valores inseguros para ellas.

Algunas configuraciones erróneas son bien conocidas y triviales de explotar. Por ejemplo, si se habilita una contraseña por defecto, un atacante sólo tendría que introducirla junto con el nombre de usuario por defecto para obtener acceso de alto nivel a un sistema.

Otras configuraciones erróneas requieren un poco más de trabajo, como cuando se dejan activadas las funciones de depuración después de desplegar una aplicación. En ese caso, un atacante intenta provocar un error y registra la información devuelta. Armado con esos datos, puede lanzar ataques muy específicos que pueden exponer información sobre el sistema o la ubicación de los datos que están tratando de robar.

¿Por qué son tan peligrosas las desconfiguraciones de seguridad?

Dependiendo de la desconfiguración de seguridad exacta que se explote, el daño puede ir desde la exposición de la información hasta el compromiso completo de la aplicación o el servidor. Cualquier desconfiguración de seguridad proporciona un agujero en las defensas que los atacantes hábiles pueden aprovechar. En el caso de algunas vulnerabilidades, como tener activadas las contraseñas por defecto, incluso un hacker sin experiencia puede explotarlas. Después de todo, ¡no hace falta ser un genio para buscar contraseñas por defecto e introducirlas!

Eliminación de la amenaza que suponen los fallos de seguridad

La mejor manera de evitar errores de seguridad es definir una configuración segura para todas las aplicaciones y programas que se despliegan en una organización. Esto debería incluir cosas como la desactivación de puertos innecesarios, la eliminación de programas y funciones por defecto que no utilice la aplicación, y la desactivación o el cambio de todos los usuarios y contraseñas por defecto. También debe incluir la comprobación y el tratamiento de errores de configuración comunes, como desactivar siempre el modo de depuración en el software antes de que llegue al entorno de producción.

Una vez definidos, debe establecerse un proceso por el que pasen todas las aplicaciones antes de ser desplegadas. Lo ideal sería que alguien estuviera a cargo de este proceso, con el poder suficiente para hacerlo cumplir, y también con la responsabilidad en caso de que se produzca un error de configuración de seguridad común.

Más información sobre los fallos de seguridad

Para más información, puedes consultar la lista OWASP de los errores de seguridad más comunes. También puedes poner a prueba tus nuevos conocimientos defensivos con una demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .

¿Preparado para desbaratar un fallo de seguridad ahora mismo? Dirígete a nuestra plataforma y desafíate a ti mismo [Empieza aquí]

Índice

Ver recurso
¿Quiere saber más?

Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.

Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.

Reservar una demostraciónDescargar
Compartir en:
Centro de recursos

Recursos para empezar

Más entradas
Centro de recursos

Recursos para empezar

Más entradas