El término desconfiguración de la seguridad es un poco un cajón de sastre que incluye vulnerabilidades comunes introducidas debido a los ajustes de configuración de la aplicación, en lugar de un mal código. Las más comunes normalmente implican errores simples que pueden tener grandes consecuencias para las organizaciones que despliegan aplicaciones con esas malas configuraciones.

Algunos de los errores de seguridad más comunes son no desactivar los procesos de depuración en las aplicaciones antes de desplegarlas en el entorno de producción, no dejar que las aplicaciones se actualicen automáticamente con los últimos parches, olvidarse de desactivar las funciones por defecto, así como una serie de otras pequeñas cosas que pueden suponer un gran problema en el futuro.

La mejor manera de combatir las vulnerabilidades de desconfiguración de seguridad es eliminarlas de su red antes de que se desplieguen en el entorno de producción.

En este episodio, aprenderemos:

• Cómo los hackers encuentran y explotan los errores de seguridad más comunes
• Por qué pueden ser peligrosas las desconfiguraciones de seguridad
• Políticas y técnicas que se pueden emplear para encontrar y arreglar los fallos de seguridad.

¿Cómo aprovechan los atacantes los errores de seguridad más comunes?

Hay muchos errores de seguridad comunes. Las más populares son bien conocidas en las comunidades de hackers y casi siempre se buscan cuando se buscan vulnerabilidades. Algunas de las configuraciones erróneas más comunes incluyen, pero no se limitan a:

• No desactivar las cuentas por defecto con contraseñas conocidas.
• Dejar activadas las funciones de depuración en producción que revelan las trazas de pila u otros mensajes de error a los usuarios.
• Funciones innecesarias o por defecto que se dejan activadas, como puertos, servicios, páginas, cuentas o privilegios innecesarios.
• No utilizar cabeceras de seguridad, o utilizar valores inseguros para ellas.

Algunas configuraciones erróneas son bien conocidas y triviales de explotar. Por ejemplo, si se habilita una contraseña por defecto, un atacante sólo tendría que introducirla junto con el nombre de usuario por defecto para obtener acceso de alto nivel a un sistema.

Otras configuraciones erróneas requieren un poco más de trabajo, como cuando se dejan activadas las funciones de depuración después de desplegar una aplicación. En ese caso, un atacante intenta provocar un error y registra la información devuelta. Armado con esos datos, puede lanzar ataques muy específicos que pueden exponer información sobre el sistema o la ubicación de los datos que están tratando de robar.

¿Por qué son tan peligrosas las desconfiguraciones de seguridad?

Dependiendo de la desconfiguración de seguridad exacta que se explote, el daño puede ir desde la exposición de la información hasta el compromiso completo de la aplicación o el servidor. Cualquier desconfiguración de seguridad proporciona un agujero en las defensas que los atacantes hábiles pueden aprovechar. En el caso de algunas vulnerabilidades, como tener activadas las contraseñas por defecto, incluso un hacker sin experiencia puede explotarlas. Después de todo, ¡no hace falta ser un genio para buscar contraseñas por defecto e introducirlas!

Eliminación de la amenaza que suponen los fallos de seguridad

La mejor manera de evitar errores de seguridad es definir una configuración segura para todas las aplicaciones y programas que se despliegan en una organización. Esto debería incluir cosas como la desactivación de puertos innecesarios, la eliminación de programas y funciones por defecto que no utilice la aplicación, y la desactivación o el cambio de todos los usuarios y contraseñas por defecto. También debe incluir la comprobación y el tratamiento de errores de configuración comunes, como desactivar siempre el modo de depuración en el software antes de que llegue al entorno de producción.

Una vez definidos, debe establecerse un proceso por el que pasen todas las aplicaciones antes de ser desplegadas. Lo ideal sería que alguien estuviera a cargo de este proceso, con el poder suficiente para hacerlo cumplir, y también con la responsabilidad en caso de que se produzca un error de configuración de seguridad común.

Más información sobre los fallos de seguridad

Para más información, puedes consultar la lista OWASP de los errores de seguridad más comunes. También puedes poner a prueba tus nuevos conocimientos defensivos con una demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .

¿Preparado para desbaratar un fallo de seguridad ahora mismo? Dirígete a nuestra plataforma y desafíate a ti mismo [Empieza aquí]