Node.js, uno de los tiempos de ejecución de JavaScript líderes, está ganando participación de mercado gradualmente.
Cuando algo se vuelve popular en tecnología, están expuestos a millones de profesionales, incluidos expertos en seguridad, atacantes, piratas informáticos, etc.
Un núcleo de node.js es seguro, pero cuando instala paquetes de terceros, la forma en que configura, instala e implementa puede requerir seguridad adicional para proteger las aplicaciones web de los piratas informáticos. Para hacerse una idea, 83 % de los usuarios de Snyk encontraron una o más vulnerabilidades en sus aplicaciones. Snyk es una de las plataformas populares de escaneo de seguridad de node.js.
Y otro últimas investigaciones enseñe ~ 14% de todo el ecosistema npm se vio afectado.
En mi artículo anterior, mencioné encontrar vulnerabilidades de seguridad en una aplicación Node.js, y muchos de ustedes preguntaron acerca de remediarlo/asegurarlo.
Mejores prácticas para mejorar la seguridad de Node JS
Ningún marco, incluido Node JS, podría citarse como 100% seguro. Por lo tanto, debe seguir estas prácticas de seguridad para evitar riesgos.
- Registrar y monitorear regularmente las actividades para detectar vulnerabilidades
- No bloquee el bucle de eventos
- Use cadenas Promise planas para evitar errores de capa de anidamiento
- Cree políticas de autenticación sólidas para su ecosistema
- Gestionar errores para evitar ataques no autorizados
- Use tokens anti-CSRF en sus aplicaciones
- Detenga la fuga de datos enviando solo la información esencial
- Administrar correctamente las sesiones con indicadores de cookies
- Controle el tamaño de la solicitud para evitar ataques DoS
- Use configuraciones de paquetes personalizadas y una contraseña de usuario no predeterminada
- Implementar reglas de control de acceso para cada solicitud
- Actualice regularmente los paquetes para mantenerse seguro contra amenazas y ataques.
- Protéjase de las vulnerabilidades de seguridad web utilizando los encabezados de seguridad apropiados
- No utilice funciones peligrosas en aras de la estabilidad de la aplicación.
- Use el modo estricto para evitar errores y fallas
Ahora, exploramos las mejores herramientas para proteger las aplicaciones de NodeJS.
Snyk
snyk se puede integrar en GitHub, Jenkins, Circle CI, Tarvis, Code Ship y Bamboo para encontrar y corregir vulnerabilidades conocidas.
Puede comprender las dependencias de su aplicación y monitorear las alertas en tiempo real cuando se encuentra un riesgo en su código.
En un alto nivel, Snyk brinda una protección de seguridad completa, que incluye lo siguiente.
- Encontrar vulnerabilidades en el código
- Monitorear el código en tiempo real
- Arregle las dependencias vulnerables
- Reciba notificaciones cuando una nueva debilidad afecte su aplicación.
- Colabora con los miembros de tu equipo
Snyk mantiene su propio base de datos de vulnerabilidades, y actualmente es compatible con Node.js, Ruby, Scala, Python, PHP, .NET, Go, etc.
Jscrambler
Jscrambler toma un enfoque interesante y único para proporcionar integridad de código y página web en el lado del cliente.
Jscrambler hace que su aplicación web autodefensivo para luchar contra el fraude, evitar la modificación del código en tiempo de ejecución y la fuga de datos, y protegerse de la pérdida de reputación y negocios.
Otra característica interesante es la lógica de la aplicación, y los datos se transforman para que sean difíciles de entender y estén ocultos en el lado del cliente. Esto hace que sea difícil adivinar el algoritmo, tecnologías utilizadas en la aplicación.
Algunos de los Jscrambler presentados incluyen los siguientes.
- Detección, notificación y protección en tiempo real
- Protección contra la inyección de código, manipulación DOM, man-in-the-browser, bots, ataques de día cero
- Credencial, tarjeta de crédito, prevención de pérdida de datos privados
- Prevención de la inyección de malware
Jscrambler admite la mayoría Marcos de JavaScript como Angular, Ionic, Meteor, Vue.js, React, Express, Socket, React, Koa, etc.
Así que adelante y prueba para hacer tu Aplicación JavaScript a prueba de balas.
Cloudflare WAF
WAF de Cloudflare (Web Application Firewall) protege sus aplicaciones web desde la nube (borde de la red). No tiene que instalar nada en su aplicación de nodo.
Existen tres tipos de reglas WAF usted obtiene.
- OWASP: para proteger una aplicación de las 10 principales vulnerabilidades de OWASP
- Reglas personalizadas: puede definir la regla.
- Especiales de Cloudflare: reglas definidas por Cloudflare según la aplicación.
Utilizando Cloudflare, no agrega seguridad a su sitio y aprovecha sus CDN rápido para una mejor entrega de contenido. Cloudflare WAF está disponible en el plan Pro, que cuesta $ 20 por mes.
Otra proveedor de seguridad basado en la nube la opción sería SUCURI y StackPath, una solución completa de seguridad del sitio para proteger de DDoS, malware, vulnerabilidades conocidas, etc.
Helmet
Casco es un middleware para expreso y Koa para proporcionar encabezado seguro de las mejores prácticas de OWASP. Le permitió implementar encabezados de respuesta HTTP como HSTS, CSP, Referrer-Policy, Expect CT, etc.
N|Solid
N | Sólido es una plataforma de reemplazo directa para ejecutar una aplicación Node.js. de misión crítica.
Se incorporaron análisis de vulnerabilidades en tiempo real y políticas de seguridad personalizadas para mejorar la seguridad de las aplicaciones. Puede configurarlo para recibir alertas cuando se detecte una nueva vulnerabilidad de seguridad en sus aplicaciones de Nodejs.
Rate Limit Flexible
Use pequeño paquete para limitar la tasa y activar una función en el evento. Esto será útil para protegerse de ataques DDoS y de fuerza bruta.
Algunos de los casos de uso serían los siguientes.
- Protección de punto final de inicio de sesión
- Limitación de la velocidad del rastreador / bot
- Estrategia de bloque en memoria
- Bloqueo dinámico basado en la acción del usuario
- Limitación de velocidad por IP
- Bloquear demasiados intentos de inicio de sesión
¿Se pregunta si esto ralentizará la aplicación?
No, ni siquiera lo notarás. Es rápido; la solicitud promedio agrega 0.7ms en el entorno del clúster.
CSURF
Agregue protección CSRF implementando csurf. Requiere que se inicialice primero un middleware de sesión o un analizador de cookies.
Para concluir
Espero que la lista anterior de protección de seguridad le ayude a asegure su aplicación NodeJS.
A continuación, no olvide revisar el solución de monitoreo.
