程序员征服安全 OWASP 十大 API 系列-日志记录和监控不足

El fallo de registro y supervisión insuficiente se produce principalmente como resultado de un plan de ciberseguridad fallido en lo que respecta al registro de todos los intentos de autenticación fallidos, accesos denegados y errores de validación de entradas. Puede ocurrir en otros puntos del entorno de producción, pero está más asociado a un fallo en la detención de los intentos de inicio de sesión no válidos.

Es una vulnerabilidad peligrosa porque significa que los equipos de ciberseguridad no responderán a los ataques porque no los conocen. Esto da a los atacantes una gran ventaja, permitiéndoles pasar desapercibidos mientras intentan penetrar más en un sistema o mejorar sus credenciales. De hecho, sin un registro y una supervisión adecuados, resulta muy difícil, o incluso imposible, detectar y detener los ataques antes de que puedan causar un daño significativo.

¿Listo para poner a prueba tus habilidades con un desafío ahora mismo? Mira esto:

¿Cómo se aprovechan los atacantes de la insuficiencia de registro y supervisión?

Cualquier API es vulnerable a un registro y supervisión insuficientes si el nivel de registro no se establece correctamente, si se establece demasiado bajo, si los mensajes de error no incluyen suficientes detalles o si no hay ninguna función de registro.

Un ejemplo interesante sería que un hacker obtuviera una gran lista de nombres de usuario comprometidos para un sitio web o servicio. Mediante la experimentación, podrían averiguar que se necesitan tres intentos fallidos de inicio de sesión antes de que se bloquee el sistema, y antes de que se notifique al personal de ciberseguridad.

Armados con esta información, en lugar de tratar de forzar cuentas individuales, podrían escribir un script para tratar de iniciar sesión como cada nombre de su lista comprometida utilizando contraseñas comunes como "123456" o "contraseña". El truco es que sólo intenten cada nombre de usuario una vez, o quizás dos, manteniéndose por debajo del umbral de bloqueos y alertas. Si tienen suerte, comprometerán al menos unas cuantas contraseñas de entrada. Después, simplemente esperan un día a que el contador de inicios de sesión se restablezca y vuelven a ejecutar el proceso utilizando contraseñas diferentes como "qwerty" o "god". Si los administradores nunca detectan lo que están haciendo, los atacantes pueden pasar por la lista muchas veces y finalmente comprometer la mayoría de las cuentas con contraseñas débiles.

Esto sucedió en el ejemplo suministrado por OWASP, en el que una plataforma para compartir vídeos fue atacada mediante un ataque de relleno de credenciales que explotaba la vulnerabilidad de registro y monitorización insuficiente. Hasta que la empresa empezó a recibir quejas de los usuarios, no tenía ni idea de que el ataque estaba ocurriendo. Finalmente, encontraron pruebas en los registros de la API, y tuvieron que emitir una notificación de cambio forzado de contraseña a todos sus usuarios, así como informar del ataque a las autoridades reguladoras.  

Eliminación de la vulnerabilidad del registro y la supervisión insuficientes

La automatización y la supervisión constante pueden ayudar a poner fin a esta vulnerabilidad. Para empezar, hay que registrar todos los intentos de autenticación fallidos. Y ese registro debe ponerse en un formato legible por la máquina, como STIX y TAXII, de modo que pueda introducirse en un sistema de gestión de eventos e información de seguridad (SIEM) que esté capacitado para buscar ataques independientemente de los umbrales utilizados.

También debe proteger sus archivos de registro. Trátelos como información sensible y protéjalos de la eliminación o modificación por parte de los atacantes. Una buena política es hacer una copia de seguridad de los archivos de registro y cifrarlos.

Por último, cree cuadros de mando y alertas personalizados para poder detectar cualquier actividad sospechosa y responder a ella lo antes posible. Si se elimina el tiempo que un atacante pasa con el sistema, se elimina su capacidad de utilizar técnicas de ataque bajas y lentas para no ser detectado.

Consulte las páginas del Secure Code Warrior páginas del blog para obtener más información sobre esta vulnerabilidad y sobre cómo proteger a su organización y a sus clientes de los estragos de otros fallos de seguridad. También puede probar una demostración de la plataforma de formación Secure Code Warrior para mantener todos sus conocimientos de ciberseguridad perfeccionados y actualizados.