¿Cuáles son los métodos comunes de ataques a la red?

1. Cross-site scripting-XSS

Investigaciones relevantes muestran que los ataques de cross-site scripting representan aproximadamente el 40% de todos los ataques y son el tipo más común de ataque de red. Pero a pesar de ser los más comunes, la mayoría de los ataques de secuencias de comandos entre sitios no son particularmente sofisticados y en su mayoría son lanzados por ciberdelincuentes aficionados que utilizan secuencias de comandos escritas por otros.

Las secuencias de comandos entre sitios se dirigen a los usuarios del sitio web, no a la aplicación web en sí. Los piratas informáticos malintencionados inyectan un fragmento de código en un sitio web vulnerable, que luego es ejecutado por los visitantes del sitio web. Dicho código puede invadir cuentas de usuarios, activar programas troyanos o modificar el contenido del sitio web para engañar a los usuarios para que proporcionen información privada.

Método de defensa: configurar un firewall de aplicaciones web puede proteger el sitio web de ataques de secuencias de comandos entre sitios. WAF es como un filtro que puede identificar y bloquear solicitudes maliciosas al sitio web. Al comprar servicios de alojamiento de sitios web, la empresa de alojamiento web generalmente ha implementado un WAF para su sitio web, pero aún puede configurar otro usted mismo.

2. Ataque de inyección

En la nueva investigación de los diez principales riesgos de seguridad de aplicaciones publicada por Open Web Application Security Project, las vulnerabilidades de inyección figuran como los factores de mayor riesgo para los sitios web. El método de inyección SQL es el método de inyección más común utilizado por los ciberdelincuentes.

Los métodos de ataque por inyección apuntan directamente a la base de datos de sitios web y servidores. Durante la ejecución, el atacante inyecta un fragmento de código que revela datos ocultos y entradas del usuario, obteniendo permiso para modificar los datos y capturar completamente la aplicación.

Método de defensa: Proteger el sitio web de ataques de inyección, principalmente en la construcción del código base. Por ejemplo: la forma preferida de mitigar el riesgo de inyección SQL es utilizar siempre declaraciones parametrizadas siempre que sea posible. Yendo un paso más allá, considere subcontratar la protección de su base de datos mediante un flujo de trabajo de autenticación de terceros.

3. Pruebas fuzz

Los desarrolladores utilizan las pruebas fuzz para encontrar errores de programación y vulnerabilidades de seguridad en software, sistemas operativos o redes. Sin embargo, los atacantes pueden utilizar las mismas técnicas para encontrar vulnerabilidades en su sitio web o servidor.

Utilizando el método de prueba fuzz, el atacante primero ingresa una gran cantidad de datos aleatorios en la aplicación para bloquearla. El siguiente paso es utilizar herramientas de prueba fuzz para descubrir las debilidades de la aplicación. Si hay vulnerabilidades en la aplicación de destino, el atacante puede explotarlas aún más.

Defensa: la mejor manera de combatir los ataques de ofuscación es mantener actualizada la configuración de seguridad y otras aplicaciones, especialmente si no actualiza los parches de seguridad después de su lanzamiento y los piratas informáticos malintencionados aprovecharán las vulnerabilidades.

4. Ataque de día cero

El ataque de día cero es una extensión del ataque fuzz, pero no requiere la identificación de la vulnerabilidad en sí. El ejemplo más reciente de este tipo de ataque fue descubierto por Google, que descubrió posibles exploits de día cero en el software de Windows y Chrome.

En dos casos, los piratas informáticos malintencionados pudieron beneficiarse de los ataques de día cero. El primer escenario es que si hay información disponible sobre una próxima actualización de seguridad, un atacante puede analizar la ubicación de la vulnerabilidad antes de que se publique la actualización. El segundo escenario es cuando los ciberdelincuentes obtienen información de parches y luego atacan a los usuarios que aún no han actualizado sus sistemas. En ambos casos, la seguridad del sistema se verá comprometida y el alcance del impacto posterior dependerá de las habilidades del hacker.

Método de defensa: la forma más sencilla de protegerse y proteger su sitio web de ataques de día cero es actualizar rápidamente su software después del lanzamiento de una nueva versión.

5. Recorrido de ruta (directorio)

Los ataques de recorrido de ruta se dirigen a la carpeta raíz web

y acceden a archivos o directorios no autorizados fuera de la carpeta de destino. El atacante intenta inyectar patrones móviles en los directorios del servidor para poder ascender. Un ataque de recorrido de ruta exitoso puede obtener acceso a un sitio web y comprometer archivos de configuración, bases de datos y otros sitios web y archivos en el mismo servidor físico.

Método de defensa: si el sitio web puede resistir ataques de recorrido de ruta depende del grado de desinfección de sus entradas. Esto significa mantener segura la entrada del usuario y hacer imposible recuperar la entrada del usuario desde su servidor. La sugerencia más intuitiva es estructurar su código base para que no se transfiera información del usuario a la API del sistema de archivos.

Incluso si este camino no funciona, existen otras soluciones tecnológicas disponibles.