¿Qué es la seguridad de aplicaciones web?
Si le preguntas a la mayoría de las personas cómo asegurar una aplicación web, inmediatamente responderán: "Usa un firewall de aplicaciones web". Pero hay mucho más que eso. En este blog, primero cubriré los conceptos básicos, explicando qué es la seguridad de aplicaciones web y por qué es importante. Luego describiré varios tipos de productos de seguridad que se pueden usar para la seguridad de aplicaciones web, incluidas algunas innovaciones que Dynatrace ha introducido recientemente.
¿Qué es la seguridad de aplicaciones web?
Una aplicación web es cualquier aplicación que se ejecuta en un servidor web y a la que un usuario accede a través de un navegador web. Los ejemplos van desde la banca en línea hasta la entrega de entretenimiento personal y el comercio electrónico. Debido a que las aplicaciones web son tan comunes y los atacantes acceden a ellas tan fácilmente, se han convertido en un objetivo común. La seguridad de las aplicaciones web es el proceso de proteger las aplicaciones web contra varios tipos de amenazas diseñadas para explotar vulnerabilidades en el código de una aplicación.
La buena seguridad de aplicaciones web comienza cuando la aplicación está siendo desarrollada. Las pruebas de seguridad de aplicaciones pueden usarse para informar a los desarrolladores cuando han introducido vulnerabilidades en la aplicación que están construyendo. Una vez que la aplicación se ha implementado, varios tipos de controles de seguridad, incluido el firewall común de aplicaciones web, están diseñados para defender la aplicación contra ataques en vivo. Usando el gráfico estándar de DevOps, la buena seguridad de aplicaciones debe abarcar todo el ciclo de vida del desarrollo de software.
¿Por qué es importante la seguridad de aplicaciones web?
Los ataques contra aplicaciones web son muy comunes. Según el Informe de Investigaciones de Violaciones de Datos de Verizon 2019, los ataques a aplicaciones web fueron el tipo de ataque número uno. Los datos de Forrester Research proporcionan más detalles, encontrando que el 39% de todos los ataques fueron diseñados para explotar vulnerabilidades en aplicaciones web.
Los ataques contra aplicaciones web también pueden ser muy costosos. El atacante puede aprovechar la aplicación web para extraer tanto información empresarial como datos privados de clientes. Ejemplos recientes incluyen:
La violación de datos de Equifax, en la que se comprometieron los registros privados de 147.9 millones de estadounidenses, 15.2 millones de ciudadanos británicos y aproximadamente 19,000 ciudadanos canadienses
La violación de datos de Marriott, en la que uno de sus sistemas de reservas fue comprometido y se robaron cientos de millones de registros de clientes, incluidos números de tarjetas de crédito y pasaportes
¿Cuáles son las vulnerabilidades comunes de las aplicaciones web?
Según la firma de seguridad de aplicaciones Snyk, las vulnerabilidades más comunes son las de scripts entre sitios (18%), seguidas de paquetes maliciosos (13%). Snyk también informa que el software de código abierto es un punto de entrada común para las vulnerabilidades. Las aplicaciones modernas, en promedio, comprenden un 70% de software de código abierto, siendo el resto código personalizado.
¿Cómo se pueden prevenir las vulnerabilidades de las aplicaciones web?
Las organizaciones generalmente utilizan dos enfoques para la seguridad de aplicaciones web: prevenir y bloquear. No son mutuamente excluyentes, y la mayoría de las organizaciones usan ambos.
Herramientas de prevención:
Pruebas de Seguridad de Aplicaciones Estáticas (SAST)
Análisis de Composición de Software (SCA)
Pruebas de Seguridad de Aplicaciones Interactivas (IAST)
Pruebas de Seguridad de Aplicaciones Dinámicas (DAST)
Evaluación de Vulnerabilidades en Tiempo de Ejecución
Herramientas de bloqueo:
Firewall de Aplicaciones Web (WAF)
Protección de Aplicaciones en Tiempo de Ejecución (RASP)
La reinvención de la seguridad de aplicaciones web
Dynatrace está aplicando su Plataforma de Inteligencia de Software a casos de uso de seguridad, incluida la seguridad de aplicaciones web a través del módulo de Seguridad de Aplicaciones. OneAgent de Dynatrace facilita a los clientes la operacionalización de la seguridad de aplicaciones web porque su Plataforma de Inteligencia de Software aprovecha un único agente que es escalable, fácil de mantener y de alto rendimiento.
Comparado con otros productos de seguridad en el mercado, Dynatrace proporciona una evaluación mucho más precisa del riesgo que cada vulnerabilidad representa para el negocio. Esto se hace automáticamente mediante el motor de IA de Dynatrace, Davis, que considera factores como:
La puntuación base del Sistema Común de Puntuación de Vulnerabilidades (CVSS)
Si el paquete de software de código abierto se está utilizando en tiempo de ejecución
Si el proceso está expuesto a Internet
El número de vulnerabilidades expuestas por cada paquete de software de código abierto
Si cada vulnerabilidad podría usarse para comprometer datos sensibles
