Åtgärda de främsta OWASP-sårbarheterna och lär dig hur du undviker dem

Idag i RedesZone har vi skapat den här guiden så att du kan få en överblick över de huvudsakliga sårbarheterna i toppen av OWASP, och hur vi kan gå till väga för att lösa eller mildra dem så gott vi kan. Vi visar dig också vad du kan göra bäst i varje fall, även om vissa är lite mer komplexa. Det är värt att komma ihåg att sårbarheterna nedan är baserade på det populära OWASP Application Vulnerabilities Project.

Exponering av känsliga uppgifter

En situation som berör både användare och organisationer är säkerheten och integriteten för känsliga uppgifter. Kom ihåg att känslig information kan hänvisa till något personligt, professionellt, bank, finansiellt eller hälsomässigt. Alla typer av data som kan generera information om dig är en stor fördel för cyberbrottslingar. Känsliga uppgifter riskerar inte bara att avslöjas, utan också att modifieras, stjälas eller säljas till enheter som är dedikerade till att hantera känsliga uppgifter.

Om du är ansvarig för att hantera känslig information är klassificering en av de bästa metoderna. Ett slumpmässigt exempel, känsliga uppgifter och icke-känsliga uppgifter. Om det var känsliga uppgifter skulle ytterligare säkerhetsåtgärder behöva tillämpas på den, såsom starkare krypteringsmetoder och undvik att förvara dem om det inte är strikt nödvändigt, förutom att kräva stark autentisering för att kunna komma åt den, och till och med dubbelfaktorautentisering för att stärka autentiseringsschemat. Å andra sidan måste du vara försiktig med data under överföring: det rekommenderas att tillämpa säkra protokoll som t.ex TLS (Transport Layer Security) och PFS (Perfect Forward Secrecy) .

Dåliga säkerhetsinställningar

Detta är en av de vanligaste sårbarheterna, främst pga dåliga metoder vid utveckling av applikationer. Förinställda, osäkra eller ofullständiga konfigurationer, inställning av öppna molntjänster när det finns känslig data. Sådana fall kan utgöra en stor risk för applikationens övergripande integritet.

En av de åtgärder som lättare kan omsättas i praktiken är att ta bort tjänster och eventuella andra tillägg från applikationen som du inte behöver använda. Kom ihåg att dessa “inaktiva” komponenter är en stor fördel för cyberbrottslingar. Många av dessa attacker uppstår på grund av bristen på kontroll över denna aspekt. Kontrollera också ofta efter potentiella hål i installationen. En möjlighet för denna aspekt är att använda dokumentationen och supporten från din leverantör. I många fall har de en bra mängd resurser för att hjälpa dig att få ut det mesta av din applikationsinfrastruktur, samt att öka säkerhetsnivåerna.

Förlust av åtkomstkontroll

Som användaradministratörer får vi aldrig underskatta slutanvändare. Vi säger det så eftersom det finns fall där “normala” användare har fler behörigheter än de borde. Därför kan det fungera som en språngbräda för dig att utföra flera skadliga aktiviteter. Det värsta med det är att det kan kringgå vissa säkerhetskontroller eftersom det har behörighet att göra det. L’ privilegieupptrappning är ett problem för nätverk av alla typer av organisationer. Attacker av typen “Insider” (inom organisationen) har skrämmande statistik, så det är obligatoriskt att justera de behörigheter som varje typ av användare har.

Å andra sidan bör användare med administratörsbehörigheter ifråga inte förbises. I RedesZone har vi diskuterat det i detalj och du kan ta en titt på vad du behöver göra för att förbättra kontrollmekanismer .

Injektion baserad på databasmotorer

Injektion består av att infoga data som innehåller kod som kan utföra skadliga åtgärder. De kan förekomma i olika databasmotorer som SQL, NoSQL och även i LDAP (Lightweight Directory Access Protocol) . Ett praktiskt exempel är när vi loggar in i en viss applikation och istället för att ange våra åtkomstuppgifter, skriver vi SQL-satser som utför skadliga åtgärder. Detta är vid vissa tillfällen inte lätt att upptäcka. Det finns dock fall av injektioner där applikationen är praktiskt taget värdelös. På samma sätt kan data som finns i applikationerna exponeras eller förbli otillgängliga för sina ägare.

Den huvudsakliga förebyggande åtgärden att överväga är att tillämpa datainmatningsvalidering på applikationer. Detta kommer att tillåta användaren att inte skriva in någon typ av text i vart och ett av fälten i ett formulär för registrering, inloggning, registrering, etc.. Det verkar vara en ganska grundläggande praxis, men tyvärr underskattar många appar och tjänster vanligtvis detta hot. Till exempel, om ditt formulär kräver numeriska data, begränsa datainmatningen till endast siffror. Om det är text begränsar det inmatningen av kommandon som kan betyda databassatser.

Som vi har sett är dessa bara några av de sårbarheter som nämns av OWASP. Det anser vi dock vara bland de viktigaste i förhållande till den inverkan de har på applikationernas infrastruktur och deras användare. Vi måste komma ihåg att vi inte bara måste stärka säkerhetsåtgärderna inför en överhängande risk för attack, utan att vi måste göra det hela tiden. Bra applikationsutveckling och implementeringsmetoder är den mest effektiva skölden mot så många sårbarheter.