OWASP Top 10
El «OWASP Top 10» es una lista que se actualiza periódicamente y que recoge los riesgos de seguridad más críticos y habituales en las aplicaciones web, elaborada por profesionales que observan de primera mano lo que realmente se está explotando en la red. No se trata tanto de una lista de verificación de cumplimiento normativo como de un mapa de los puntos en los que los atacantes centran sus esfuerzos: controles de acceso defectuosos, fallos de inyección, fallos criptográficos, configuraciones de seguridad erróneas y el resto de elementos que figuran en la lista actual.
Lo que hace que merezca la pena tomarse en serio esta lista no es su novedad —la mayoría de estas categorías de problemas llevan años existiendo—, sino su persistencia. Los fallos en el control de acceso y la inyección de código llevan mucho tiempo entre los primeros puestos de esta lista, ya que siguen apareciendo en aplicaciones reales —incluso en aquellas desarrolladas por equipos experimentados—, debido a que son fáciles de introducir y de pasar por alto en una revisión de código que no se centre específicamente en detectarlos.
Cómo evalúo mi cumplimiento con respecto a ello
Compruebo su aplicación en cada una de estas categorías tal y como lo haría realmente un atacante: no me limito a ejecutar un escáner y a remitirle los resultados, sino que verifico manualmente qué es realmente vulnerable y qué es lo que el escáner ha señalado erróneamente. Los problemas de control de acceso, en particular, requieren que una persona examine la lógica de negocio real, ya que rara vez son algo que una herramienta pueda detectar de forma fiable por sí sola.
Cómo encaja esto con otras pruebas
La lista «OWASP Top 10» constituye una buena referencia, pero no pretende ser exhaustiva: recoge los riesgos más comunes, no todos los riesgos posibles para su aplicación concreta. En el caso de cualquier sistema que maneje datos sensibles o que esté expuesto a amenazas significativas, lo considero el punto de partida para una evaluación, no el límite máximo, y, además, analizo los aspectos específicos de la lógica y la arquitectura propias de su aplicación.
Si desea saber cuál es la situación real de su aplicación web frente a estos riesgos, analicemos el alcance de una evaluación.