¿Cómo aprender seguridad en aplicaciones web?

La seguridad en la Web es un asunto real, y es mejor reconocerlo antes que esperar a que ocurra algo malo.

El rápido avance de la tecnología, incluidos los servicios y aplicaciones web, ha revolucionado las empresas modernas. Muchas empresas han trasladado la mayor parte de sus operaciones a Internet, lo que permite a empleados y socios comerciales de cualquier parte del mundo colaborar y compartir datos fácilmente en tiempo real.

Tras la introducción de las modernas aplicaciones web HTML5 y la Web 2.0, las exigencias de los clientes cambiaron. Ahora, todo el mundo quiere acceder a cualquier información que pueda necesitar 24/7/365. Como resultado, las empresas en línea también se ven obligadas a poner sus datos a disposición en todo momento.

Mientras que el período de bloqueo global podría haber sido bastante bien para aquellos trabajar desde casa y minoristas en línea, también ha beneficiado enormemente a los ciberdelincuentes.

El aumento de las transacciones en línea y del trabajo a distancia les permitió piratear gran cantidad de información de tarjetas de crédito y dirigirse a los trabajadores a distancia y a sus organizaciones. Este avance también invitó a estafadores y hackers malintencionados que están desarrollando nuevos vectores de amenaza de vez en cuando.

Este año, unos 80% de las empresas fueron testigos de un aumento de los ciberataques, mientras que el Coronavirus impulsó un incremento 238% de las amenazas a los bancos, afirma un informe.

Para mitigar todos estos ataques, hace tiempo que nació la seguridad de las aplicaciones Web. Y esta industria requiere profesionales con talento que puedan salvar a las organizaciones de perder datos, dinero y la confianza de los consumidores.

Este es el objetivo de este artículo, en el que comprenderás cosas sobre la seguridad, lo que se espera de los profesionales de la seguridad web y las fuentes en las que puedes aprender y dominar estos conocimientos.

Entonces, ¿empezamos?

¿Qué es la seguridad de las aplicaciones web?

La seguridad web, ciberseguridad o seguridad de las aplicaciones web es la forma de proteger los servicios en línea y los sitios web de diversas amenazas que explotan las vulnerabilidades asociadas a los códigos de una aplicación.

Algunos de los objetivos habituales de estos ataques son soluciones de gestión de bases de datos como phpMyAdmin, aplicaciones SaaS, sistemas de gestión de contenidos (CMS) como WordPress, etc.

El objetivo de la seguridad web es evitar este tipo de ataques denegando el acceso, uso, destrucción/interrupción o modificación no autorizados.

Entonces, ¿cuál es la razón por la que los atacantes atacan ampliamente las aplicaciones web?

• La complejidad inherente al código fuente de las aplicaciones, que aumenta la probabilidad de vulnerabilidades, así como la manipulación del código.
• Las aplicaciones son fáciles de ejecutar; por lo tanto, los atacantes pueden lanzar o automatizar fácilmente la mayoría de los ataques, que pueden dirigirse a miles de aplicaciones a la vez.
• Botín de alto valor que incluye datos sensibles y privados mediante la manipulación del código fuente, así como botín financiero.

Tipos comunes de vulnerabilidad

Secuencias de comandos en sitios cruzados (XSS)

XSS permite a los atacantes infundir scripts del lado del cliente en una página web y acceder directamente a datos importantes, engañar a los usuarios para que revelen datos importantes o suplantar la identidad de los usuarios. Sus consecuencias incluyen el acceso a cuentas, la activación de troyanos, la modificación del contenido de las páginas, etc.

Falsificación de petición en sitios cruzados (CSRF)

CSRF engaña a las víctimas cuando realizan una petición que utiliza su autorización o autenticación. Por lo tanto, a través de estos privilegios de cuenta, los atacantes pueden hacer peticiones haciéndose pasar por el usuario. Esto podría dar lugar a transferencias de fondos, cambios de contraseña, etc.

Denegación de servicio (DoS) y Denegación de servicio distribuida (DDoS)

Los atacantes sobrecargan el servidor objetivo y/o su infraestructura con diverso tráfico de ataque. Una vez que el servidor se vuelve incapaz de procesar eficazmente las peticiones entrantes, comienza a comportarse con lentitud y niega el servicio eventualmente a más peticiones entrantes, incluso de visitantes legítimos.

Inyección SQL 💉

El método que utiliza un atacante para explotar vulnerabilidades similares a la forma en que las bases de datos implementan las consultas de búsqueda. Los atacantes utilizan SQI para acceder a datos no autorizados, crear o modificar permisos de usuario, destruir o manipular datos confidenciales, etc.

Inclusión remota de archivos

Los atacantes lo utilizan para inyectar archivos maliciosos con códigos en el servidor de una aplicación web y ejecutarlos para dañar la aplicación, manipularla y realizar robos de datos.

Otros

Otros ataques incluyen corrupción de memoria, violación de datos, clickjacking, directory traversal, command inyección...desbordamiento de mantequilla, y mucho más.

Espero que esto sea suficiente para entender que la seguridad web es la necesidad del momento y por qué todo el mundo debe implementarla lo antes posible antes de que pueda suponer una amenaza para su aplicación y perjudicarle económicamente o en términos de reputación.

Debido a su creciente demanda, mucha gente se anima a aprender. Y si te apetece aprender esta materia, puede ser una gran opción profesional y beneficiosa a nivel personal.

¿Qué hacen los profesionales de la seguridad web?

Los profesionales de la seguridad web son los responsables de proteger las aplicaciones web, las redes correspondientes y los datos de las aplicaciones. Ayudan a mitigar las filtraciones de datos supervisando la red y reaccionando ante las amenazas.

Estos profesionales tienen formación como administradores de redes o sistemas, programadores. Y es que esta área requiere curiosidad, pensamiento crítico, pasión por la investigación y el aprendizaje. Deben ser capaces de ser más astutos que los hackers, que son "destructivamente creativos" a la hora de desarrollar e inyectar diversas amenazas.

Como las amenazas a la seguridad pueden surgir en cualquier momento, los profesionales de la seguridad deben mantenerse al día de las últimas tácticas que emplean los hackers para colarse en sistemas y redes. Algunas de las responsabilidades de los profesionales de la seguridad web son:

• Encuentre vulnerabilidades en aplicaciones web, bases de datos y cifrado.
• Mitigar los ataques solucionando los problemas de seguridad
• Realizar auditorías periódicas para garantizar las mejores prácticas de seguridad.
• Implantar herramientas de prevención y detección de endpoints para evitar ataques malintencionados.
• Implantar sistemas para la gestión de vulnerabilidades en los activos en la nube y en las instalaciones.
• Ocuparse de la limpieza en caso de que se produzcan atentados
• Trabajar con otras operaciones de TI para planificar recuperación en caso de catástrofe.
• Trabajar con los jefes de equipo y RRHH para educar a todos los empleados en la detección de actividades sospechosas.

Algunas buenas prácticas de seguridad para proteger las aplicaciones web

Uso de cortafuegos de aplicaciones web (WAF)

WAF ayuda a proteger sus aplicaciones web de peticiones HTTP maliciosas. Coloca una barrera entre el atacante y su servidor. Puede proteger la capa siete contra amenazas como XSS, CSRF, inyección SQL, etc.

Mitigación de DDoS

Como su nombre indica, se utiliza para mitigar los DDoS de aplicaciones y ataques a la capa de red, protegiendo así los sitios web, las aplicaciones y la infraestructura de servidores.

Bot 🤖 filtrado

Se implementa para filtrar el mal tráfico de bots.

Protección DNS

Se hace para proteger su solicitud DNS de ser secuestrada a través de ataques en ruta y Envenenamiento de la caché DNS.

Uso de HTTPS

HTTPS cifra todos los datos intercambiados entre el servidor y su cliente para proteger las credenciales de inicio de sesión, la información de cabecera, las cookies, los datos de solicitud, etc.

Así pues, si se ha decidido a aprender seguridad de aplicaciones web, puede consultar los siguientes recursos de aprendizaje y perfeccionar sus conocimientos 🧑‍💻.

PortSwigger

Aprenda de los creadores de Burp Suite - una plataforma líder para una variedad de herramientas de ciberseguridad de PortSwigger. Es una formación online y GRATUITA que puede impulsar tu carrera en ciberseguridad.

Con los laboratorios interactivos, puede aprender en cualquier momento y desde cualquier lugar, además de realizar un seguimiento de su progreso a lo largo del tiempo. Proporciona formación sobre vulnerabilidades de lógica empresarial, divulgación de información, envenenamiento de caché web, deserialización insegura, inyección SQL, XSS, CSRF, inyección XXE y mucho más.

El material didáctico de PortSwigger está elaborado por profesionales experimentados, un equipo de investigación y su fundador - Dafydd Stuttard. También es autor de un famoso libro titulado Web Application Hacker's Handbook.

Vista previa	Producto	Valoración	Precio
	Manual del hacker de aplicaciones web: Encontrar y explotar fallos de seguridad		$34.20	Comprar en Amazon

Los tutoriales se explican exhaustivamente en el contenido de texto y vídeo para ayudar a recordar fácilmente los puntos clave. Sus laboratorios interactivos hacen que el curso en general sea emocionante, y es donde plantean rompecabezas realistas para poner a prueba tus habilidades de hacking.

EdX

Fundamentos de Seguridad Web por EdX es excelente para comprender los principios básicos. Te ofrece una visión general de los ataques más comunes y de las contramedidas adecuadas para cada uno de ellos sólo de forma teatral y práctica.

También te enseñan las mejores prácticas de seguridad que prevalecen en la actualidad para asegurar las aplicaciones web. Si quieres apuntarte al curso, no necesitas tener conocimientos previos de seguridad necesariamente. Pero si lo tienes, te ayudará mucho a entender mejor cosas como HTTP, JavaScript, HTML, etc.

La duración del curso es de 5 semanas, lo que incluye de 4 a 6 horas semanales. El aprendizaje es completamente GRATUITO; sin embargo, si lo desea, puede pagar 48,97 US$ para obtener un certificado verificado y firmado por el instructor con el logotipo de la institución. Este certificado se puede utilizar para aumentar las perspectivas de empleo, y se puede compartir en LinkedIn o incorporar a su currículum vitae o CV.

Stanford

El curso CS 253 Web Security de Stanford ofrece un resumen completo de la seguridad web y pretende que los alumnos comprendan los ataques web más comunes y cómo prevenirlos. El curso cubre no sólo los fundamentos, sino también las inclinaciones avanzadas en seguridad web.

Algunos de los temas son:

• Principios de seguridad web
• Ataques y contramedidas
• Vulnerabilidades de las aplicaciones web
• Modelo de seguridad del navegador
• Ataques de inyección, DoS y TLS
• Huellas digitales, privacidad, política del mismo origen, autenticación, cross-site scripting, seguridad de JavaScript
• Defensa en profundidad
• Amenazas emergentes
• Técnicas para escribir códigos seguros, exploits de seguridad
• Aplicación de normas web en evolución y defensa de aplicaciones web débiles

Para realizar este curso, es necesario haber cursado CS 142 o cualquier otra experiencia equivalente en desarrollo web. Aquí, la asistencia es obligatoria, y la calificación se basa en:

• 75% en asignaciones
• 25% en el examen final

Para prepararte mejor, puedes leer la solución para el Examen final 2019 y otros ejemplos de preguntas para CS 253.

Para principiantes

Sin duda, Udemy es uno de los mejores lugares para estudiar en línea diversos cursos; la seguridad de las aplicaciones web es uno de ellos. Si usted es un principiante, este curso es ideal para usted, ya que no requiere conocimientos previos de codificación.

En este curso aprenderás

• Identificación de las 10 mejores amenazas detectadas por OWASP o el Open Web Application Security Project
• Entender cómo se pueden mitigar estas amenazas
• Impacto de cada amenaza en su empresa
• Cómo ejecutan los atacantes estas amenazas

El curso se explica en el lenguaje más sencillo para que cualquier persona con poca información sobre Internet y la informática pueda entenderlo. También cubre la defensa en profundidad, una explicación para la suplantación de identidad, la divulgación de información, la manipulación, el repudio, la elevación de privilegios y DoS.

Tutores experimentados le enseñarán todo lo necesario para dominar los fundamentos de la seguridad web.

Coursera

Otra muy buena opción de la lista es Courseraque enseña cómo utilizar OWASP ZAP o Zed Attack Proxy. Esta herramienta ayuda a los profesionales de la seguridad, así como los probadores de penetración en la búsqueda de vulnerabilidades.

• Enseñan cómo se pueden escanear vulnerabilidades, analizar los resultados de los escaneos, generar informes a partir de ellos, etc.
• También aprenderá la configuración del proxy del navegador para escanear respuestas y peticiones de forma pasiva explorando sitios web.
• Una breve explicación de cómo ver, interceptar, reenviar y modificar las peticiones web que se producen entre la aplicación web y el navegador.
• Además, aprenderá a utilizar listas de diccionarios para encontrar carpetas y archivos en su servidor web.
• Además, usted podría entender cómo puede araña rastrear sitios para encontrar URLs y enlaces.

Los instructores del curso te guían paso a paso por cada tema en el vídeo de pantalla dividida, y como está en la nube, no tienes que perder tiempo descargándolo. Coursera proporciona certificados incluidos para cada programa sin coste adicional.

PentesterLab

PentesterLab abarca desde los niveles básicos hasta los avanzados. Te enseñan cómo encontrar y explotar vulnerabilidades manualmente. Todos sus ejercicios cubren debilidades comunes o problemas encontrados en varios sistemas.

Para un mejor aprendizaje, proporcionan sistemas reales y vulnerabilidades reales para que pueda aprender en tiempo real, sin emulación. Sus ejercicios en línea le permiten obtener certificados tras la finalización del curso. Todos los ejercicios se dividen en insignias que puedes completar para obtener el certificado.

YouTube

YouTube es el centro neurálgico del conocimiento; ¡sólo hay que utilizarlo de la forma adecuada!

Así, hay un canal - Google Chrome Developers con 505k suscriptores en YouTube que usted puede mirar hacia arriba para aprender.

En este tutorial, podrá comprender algunos vectores de ataque típicos y cómo puede proteger sus datos, usuarios y reputación. A continuación, se le presentará un nuevo curso que tiene como objetivo proporcionar conferencias concisas y ejercicios prácticos sobre temas que incluyen tanto la defensa como el ataque.

Mozilla

Gire hasta Documentos web MDN de Mozilla y acceder a artículos útiles sobre seguridad web. Los artículos listados aquí cubren una variedad de temas como seguridad de contenido, seguridad de conexión, seguridad de datos, fuga de información, integridad de datos, protección contra clickjacking, seguridad de datos de usuario, etc.

La información de estos artículos le ayudará a proteger su sitio web y todos sus códigos contra el robo de datos y los ataques. Usted puede aprender algunas cosas interesantes como la forma de arreglar su sitio, habiendo bloqueado contenido mixto, acerca de los algoritmos de firma, y mucho más.

Invicti

Un completo artículo de Invicti es apto para explicar los pormenores de la seguridad de las aplicaciones web. Está excelentemente escrito para ayudar incluso a los principiantes a entender los términos y tecnologías utilizados en la seguridad web.

En el artículo, los mitos y fundamentos de la web seguridad de las aplicacionesy cómo las empresas actuales pueden mejorar la seguridad de sus sitios web y aplicaciones para mantener a raya a los ciberatacantes.

Aquí aprenderás:

• Cómo proteger sus aplicaciones web
• Selección del escáner de vulnerabilidades adecuado
• Diferencia entre un escáner de vulnerabilidades web gratuito y uno comercial
• Cómo puede probar su escáner de vulnerabilidades y cuándo utilizarlo
• Algunas buenas prácticas para proteger su servidor web y otros componentes

SANS

Realice este curso - SEC22 de SANS si su objetivo es defender aplicaciones web. Le ayudará a comprender todas las vulnerabilidades de seguridad asociadas a su aplicación web para que pueda proteger sus activos web.

El curso le presenta técnicas de mitigación para la arquitectura, la infraestructura y la codificación junto con métodos del mundo real. Se familiarizará con la naturaleza de estas vulnerabilidades para entender por qué se producen y cómo mitigarlas.

Es adecuado para personas responsables de gestionar, implementar o defender aplicaciones web. Pueden ser analistas de seguridad de aplicaciones, arquitectos, desarrolladores, auditores, expertos en pruebas de penetración, etc.

En el curso se tratarán temas como:

• Las 10 mejores amenazas de OWASP
• Problemas específicos de los 25 principales errores de software del CWE
• Integración de la nube en una aplicación web
• Configuración del idioma de la aplicación
• Configuración de infraestructuras y gestión de la seguridad
• Mecanismos de autenticación
• Cabeceras HTTP
• Fallos en la lógica empresarial
• Errores de codificación como XSS, CSRF, inyección SQL, etc.

Si entiendes los conceptos básicos de las aplicaciones web y tecnologías como JavaScript y HTML, puedes empezar el curso.

Cloudflare

Este es otro artículo de la lista de Cloudflare que trata sobre la seguridad de las aplicaciones web.

Precisamente, explica:

• Cuál es el significado de esta terminología,
• Algunas vulnerabilidades típicas
• Prácticas recomendadas para prevenir las vulnerabilidades de la seguridad web

Lea este artículo para aclarar algunos conceptos básicos que le ayudarán mucho a la hora de inscribirse en un programa de seguridad de aplicaciones web.

Conclusión

El aprendizaje de la seguridad de las aplicaciones web se ha ciberataques están aumentando rápidamente.

Le deseo lo mejor.