jump to navigation

Seguridad Web, una visión general Junio 7, 2007

Posted by fids in Seguridad.
trackback

Es conocido por todos, la importancia de la seguridad en los sistemas informáticos, cuanto más en aquellos que son usados por cientos, tal vez miles de usuarios como es el caso de las aplicaciones web. Hace una decada, la mayoría de aplicaciones era basicamente monousuario, y una de las pocas maneras de poder acceder a la información era a través de la red interna de la empresa, y claro, conociendo sobre los sistemas a hackear…

La seguridad en los años pasados, fue mas que todo, tener un buen antivirus, y en alguna que otra aplicación cliente servidor que negaba el acceso a su base de datos desde terminales internas.

La verdad es que muchas de esas aplicaciones desktop de años pasados, no tenian mucha seguridad. Solo basta con ingresar a una de sus aplicaciones, y manipular el login insertando una cadena SQL maliciosa, para que se pueda apreciar la real dimensión del problema. Pueden hacer la prueba con sus respectivas aplicaciones, un 90% de ellas sufriran de algun tipo de ataque de inyecciones SQL.

Lo que sucedió es que en el pasado, nuestras aplicaciones las usaban pocas personas, a lo mucho 30, en una intranet, y la mayoria de usuarios no conocia mucho sobre las IT. Ahora el panorama ha cambiado, pues una aplicación web, esta “al aire libre”. Solo podemos ver los miles de ataques diferentes en un servidor web durante años. Y si no tomamos las medidas necesarias, nuestra aplicación seguramente será atacada, tarde o temprano.

Durante el desarrollo de mi tesis, me di cuenta de muchas cuestiones de seguridad, que muchas veces crei innecesarias, era, el claro asomarse a un nuevo paradigma, que siempre debio tenerse en cuenta, pero que no fue asi.

Asi que ahora, en tus proyectos, debes considerar la seguridad, como “esencial”, sea cual fuera la aplicación. Existe para ello toneladas de información disponible en la web. Se han desarrollado muy buenos estándares de seguridad como la ISO/IEC 27001 e ISO/IEC 17799 que cubren un detallado y preciso número de aspectos de seguridad a tocar.

En mi experiencia, he aprendido que al desarrollar una aplicación web, se deben tener las siguientes consideraciones, espero que te sirvan aunque algunas las consideres, un tanto… paranoicas..

  1. Nunca estarás seguro, el término seguridad total es utópico, solo podemos hablar de un sistema fiable
  2. La seguridad empieza por un planeamiento, una política de seguridad que se debe tomar te guste o no
  3. La implementación de la seguridad empieza a nivel físico, considerala, tu no sabes quien podrá tocar tu equipo
  4. Estarás + seguro? mientras mas claro tengas los roles de tus usuarios y establezcas directivas de seguridad para cada uno de ellos
  5. Piensa que el nivel superior no te protege, y sigue la sgte escalera: [Gestor de BD] – Aplicación – Lenguaje – Servidor Web – Sistema Operativo – Hardware – [Personal] – [Institución]
  6. La seguridad muchas veces esta peleada con el rendimiento (mas vale una app lenta y segura que una rapida y agujereada)
  7. Seguridad no es solo restringir, es disponibilidad, confidencialidad e integridad.
  8. Confunde pero no te entreveres tu mismo en tus configuraciones
  9. Utliliza herremientas de testeo de seguridad sin piedad (considera como herramientas de testeo a tus amigos)
  10. Cuando termines el paso 9, regresa al 1ro, si no lo haces tarde o temprano caeras

Se que hay muchas más, pero son un buen comienzo para desarrollar proyectos fiables en buena medida. Se que es tedioso, a veces da pereza, pero es lo mejor para nuestras aplicaciones. Y recuerda, ser paranoico en el mundo informático y más en el mundo de la seguridad no es un defecto, es una bendicion…

Comentarios»

1. HIJO - Junio 15, 2007

Ta Mr. entre ociosos (no siempre), nos entendemos, en Taru Adun, Fids

2. neolider - Octubre 20, 2008

hola: interesante el tema sobre todo por que tambien quiero hacer mi tesis de licenciatura sobre seguridad de aplicaciones web y debo deborar ps todo lo concerniente a esto , en el transcurso de la investigacion que estoy desarrollando me he tocado con inumerables formas y metodos que unos y otros y saben que es lo mas importante que despues de casi dos años que llevo trabajando como analista . he curtido algunas ideas que espero poder publicarla en mi blog , gracias por las ideas qui vertidas. atte neolider

3. fids - Octubre 21, 2008

Sí, el tema de la seguridad es apasionante, aunque también es complejo y muchas veces difícil de entender. Espero puedas hacer una buena ivnestigación y compartirla con los demás…