¿Por qué las inyecciones SQL son las cucarachas del mundo de la seguridad de las aplicaciones (y cómo los CISO pueden erradicarlas de una vez por todas)?

Existe una teoría muy conocida que sostiene que las cucarachas pueden sobrevivir prácticamente en cualquier circunstancia, incluso a una explosión nuclear. Aunque esta teoría es cierta hasta cierto punto, su sencilla constitución física las hace extremadamente resistentes al frío y difíciles de eliminar en la mayoría de las condiciones.

Si las cucarachas tuvieran una vulnerabilidad similar en el mundo digital, sería la vulnerabilidad de inyección SQL (SQLi) en el código. Esta vulnerabilidad es conocida desde hace más de veinte años, pero las organizaciones siguen siendo víctimas de ella una y otra vez. En general, ataques costosos a objetivos específicos son el resultado de inyecciones SQL, como por ejemplo el hackeo electoral en Illinois, donde se filtraron 200 000 registros de votantes, lo que llevó al FBI a recomendar a todos los administradores de TI que tomaran medidas rápidas para reforzar la seguridad.

El informe sobre la iniciativa de inteligencia sobre piratería informática de Imperva revela que, entre 2005 y 2011, el 83 % de todas las fugas de datos notificadas se debieron a ataques SQLi. Hoy en día, las vulnerabilidades de inyección siguen siendo la principal amenaza en Estados Unidos según la lista OWASP Top 10. Son relativamente sencillas, pero no desaparecen.

Parece absurdo que sigan apareciendo las mismas vulnerabilidades en gran cantidad de análisis de seguridad de aplicaciones. Sabemos cómo funciona y sabemos cómo impedirlo. ¿Cómo es posible? La realidad es que la seguridad de nuestro software aún tiene mucho margen de mejora.

El informe sobre la seguridad del software de Veracode, basado en 400 000 análisis de aplicaciones realizados en 2017, muestra una estadística alarmante: solo el 30 % de las aplicaciones cumplen las diez políticas principales de la OWASP. En los últimos cinco años, este ha sido un tema recurrente, ya que casi un tercio de las nuevas aplicaciones analizadas presentaban inyecciones SQL. Esto demuestra que se trata de un problema generalizado.no estamos aprendiendo de nuestros errores, y los directores de seguridad de la información parecen tener dificultades para contratar a suficientes profesionales de la seguridad. Por lo general, la proporción de expertos en seguridad de aplicaciones y desarrolladores es inferior a 1:100.

¿Por qué la seguridad del software es vital?

La escasez de personal especializado en seguridad ya no es ningún secreto, pero también debemos prestar atención al hecho de que los desarrolladores no corrigen los problemas cuando surgen y, evidentemente, no son capaces de evitar introducir vulnerabilidades desde el principio. En el mismo informe de Veracode, se revela que, de todas las vulnerabilidades de desarrollo, solo se ha documentado el 14,4 % de las medidas de mitigación. En otras palabras,la mayoría de las vulnerabilidades se envían sin medidas de mitigación desarrolladas. Menos de un tercio de las vulnerabilidades se cierran en los primeros 90 días, y el 42 % nunca se cierran durante el desarrollo.

He estado hablando con profesionales de la seguridad, directores de seguridad de la información y directores ejecutivos, y es interesante observar que muchas empresas se sienten tan frustradas por las vulnerabilidades detectadas que no pueden mitigarse (además de la plaga conocida como falsos positivos) que han dejado de escanearlas por completo y cruzan los dedos esperando lo mejor.

¿Por qué los profesionales de AppSec permiten que esto suceda?

Sin duda alguna, los profesionales de AppSec son muy conscientes de los problemas que pueden surgir en el código. Al fin y al cabo, esa es una de sus habilidades principales, lo que los convierte en un recurso tan valioso para sus equipos. Sin embargo, a menudo se ven obstaculizados por múltiples factores.

Por ejemplo, el responsable de AppSec detecta un problema y pregunta al desarrollador: «¿Puedes corregir el código?». La respuesta a esta importante pregunta varía según la organización, pero en general, los desarrolladores están tan ocupados cumpliendo con los estrictos sprints de entrega de funciones que no tienen tiempo para resolver estos problemas, ni tampoco cuentan con herramientas adecuadas que les ayuden. Los profesionales de AppSec pueden identificar las vulnerabilidades por sí mismos, pero normalmente no tienen las habilidades y/o los permisos para corregirlas sobre el terreno.

También debemos reconocer que, para cada problema, hay un proceso que requiere encontrar una solución,implementarla y luego probarla. Incluso el más mínimo problema detectado en el código requiere mucho tiempo para solucionarlo, por no hablar de los recursos necesarios. Se pueden introducir más de 700 vulnerabilidades en el software, y es imposible para cualquiera defenderse de todas ellas. Por esta razón, la mayoría de las empresas se centran únicamente en las diez principales vulnerabilidades de OWASP. Al mismo tiempo, los desarrolladores siguen creando funciones y, a su vez, introducen continuamente vulnerabilidades en el código que escriben.

¿Cuál es la solución?

La simple realidad es que no proporcionamos a los desarrolladores las herramientas y la formación necesarias para garantizar el éxito de la codificación segura. No existe ninguna normativa que obligue a las organizaciones a garantizar que los desarrolladores cuenten con los conocimientos de seguridad adecuados, y la triste realidad es que la mayoría de las universidades y centros de prácticas tampoco preparan a los desarrolladores principiantes para la codificación segura.

Cuando alguien quiere pilotar un avión, existe un proceso muy estricto que garantiza que reciba formación, experiencia práctica, un examen médico, conocimientos de seguridad y una inspección antes de volar. Nadie se atrevería a imaginar que, sin una preparación tan exhaustiva y una verificación de sus habilidades, se le dejaría volar sin más, pero eso es lo que ocurre a diario en la programación de código.

Necesitamos dedicar tiempo a formar a los desarrolladores sobre cómo escribir código seguro. Sin embargo, en el mundo actual, con el rápido ritmo de desarrollo de software y la escasez de buenos desarrolladores y profesionales de la seguridad, esto nunca parece ser una prioridad. Es hora de cambiar el discurso.

La noticia más reciente proviene del Foro Económico Mundial, que afirma: «Sin seguridad no puede haber economía digital», y añade que la seguridad debe ser una parte fundamental de cualquier estrategia de transformación digital. «La seguridad es clave para proteger a las empresas y permitirles innovar y desarrollar nuevos productos y servicios. Además de su función defensiva, la seguridad también proporciona a las empresas una ventaja estratégica para el crecimiento».

Mejorar las habilidades y los resultados en materia de codificación segura añadirá una sólida capa de protección cibernética a las organizaciones y les ayudará a crear un código mejor y más rápido. Los desarrolladores no necesitan convertirse en expertos en seguridad, pero deben adquirir habilidades proactivas y prácticas para convertirse en la primera línea de defensa contra los ciberataques. Los desarrolladores pueden convertirse en los próximos héroes de la seguridad y la innovación. Son personas muy inteligentes, creativas a la hora de resolver problemas y, en general, entusiastas por desarrollar sus habilidades. Aprovechen sus puntos fuertes con la formación profesional adecuada y comprométanse con unos estándares de seguridad de software más elevados. Lea nuestro informe técnico para obtener más información.

Cuando alguien quiere pilotar un avión, existe un proceso muy estricto que garantiza que reciba formación, experiencia práctica, un examen médico, conocimientos de seguridad y una inspección antes de volar. Nadie se atrevería a imaginar que, sin una preparación tan exhaustiva y una verificación de sus habilidades, se le dejaría volar sin más, pero eso es lo que ocurre a diario en la programación de código.