Esta guía es una Biblia de prueba de seguridad de la red para ayudarlo a garantizar la seguridad de la red. Incluye muchas estrategias de prueba de seguridad de red diferentes y tipos de pruebas de seguridad de red. Aprenderá a probar vulnerabilidades en su sitio web, cómo se ve la red desde la perspectiva de un atacante y qué pasos puede tomar para asegurarse de que su sitio web sea seguro.
Tabla de Contenidos
Prueba de red
Las pruebas web son un proceso de análisis de seguridad web que puede ayudarlo a identificar vulnerabilidades y corregirlas. Todo esto es para proteger su sitio web y sus aplicaciones web de ataques y ataques de piratas informáticos para que no se utilicen contra usted o las personas que los visitan. Las pruebas web no solo pueden identificar problemas, sino también proporcionar soluciones para estos problemas para garantizar una protección del 100%.
¿Cuáles son los tipos de pruebas web?
Hay tres tipos diferentes de pruebas de red:
- caja negra – Este tipo de prueba de seguridad de la red comienza con un conocimiento cero de cualquier contenido en el sitio web de destino o su infraestructura.Los probadores no saben cómo funciona, qué tecnologías / marcos se utilizan al construir la aplicación, etc. Todos ellos pueden acceder a un punto final (URL) donde pueden ingresar Prueba de seguridad de aplicaciones de red ingresar.
- Caja blanca– Este tipo de prueba de seguridad de red puede acceder completamente al código, la base de datos y la infraestructura del sitio web de destino. Los evaluadores comprenden completamente cómo funciona todo, lo que les permite encontrar fácilmente problemas con la lógica o el diseño de la aplicación web. Sin embargo, esto no siempre significa que sean más fáciles de explotar estas vulnerabilidades, ya que la mayoría de las aplicaciones web tienen protección agregada contra este tipo de ataques (por ejemplo: administración de sesiones).
- Caja gris – Las pruebas de penetración de caja gris utilizan un cierto nivel de conocimiento sobre el sistema bajo prueba, pero no brindan información detallada sobre lo que sucede detrás de escena. Por ejemplo, los probadores de penetración pueden recibir información de la versión del servidor web para su uso durante las pruebas de seguridad web, pero no se proporcionarán las credenciales de inicio de sesión.
¿Cuál es la diferencia entre API y pruebas de servicios web?
Seguridad de la interfaz Y las pruebas de servicios web no son mutuamente excluyentes, lo que es contrario a la creencia popular. De hecho, cada uno es un subconjunto del otro: cada servicio web es una API porque expone los datos y / o la funcionalidad de la aplicación, pero no todas las API son un servicio web. Esto se debe a que la definición de servicios web es bastante limitada en términos de implementación:
- Los servicios web necesitan utilizar la red. A diferencia de las API, los servicios web deben estar conectados a Internet.
- La API es independiente del protocolo. Los servicios web generalmente usan SOAP, aunque las API pueden usar cualquier protocolo o estilo de diseño (pero a veces usan REST, UDDI y XML-RPC).
¿Qué deberías buscar?
Independientemente de su pila o plataforma de tecnología subyacente, puede realizar pruebas de seguridad web en cualquier aplicación web (servicios web y sitios web interactivos).Las siguientes son algunas áreas clave que requieren especial atención al realizar operaciones. Pruebas de penetración de aplicaciones web:
- verificar – Asegúrese de que todas las entradas del usuario se verifiquen antes del envío; asegúrese de que su sesión no se mantenga abierta después de que ocurra la autenticación, verifique qué sucede con la contraseña cuando ingresa la contraseña en el formulario, etc. (por ejemplo: SHA Hash) . Además, asegúrese de almacenar las contraseñas correctamente para que no se pueda acceder a ellas si la base de datos del usuario malintencionado está comprometida. El mecanismo de almacenamiento está bien documentado en Internet.
- Falsificación de solicitudes entre sitios – Esta vulnerabilidad web es causada por la implementación incorrecta de la validación de entrada del usuario, donde la aplicación no verifica si realmente está solicitando desde su propio dominio / punto final. Los atacantes pueden usarlo para engañar a los usuarios para que hagan clic en enlaces y realicen ciertas acciones en su nombre cuando inician sesión (por ejemplo: transferir dinero, cambiar la configuración del perfil personal, etc.). Algunos ejemplos de vulnerabilidades web de OWASP TOP incluyen: ataques CSRF y XSS
- Defecto de inyección – Cuando la aplicación envía la entrada del usuario sin filtrar directamente a otro sistema, este tipo de pruebas de seguridad web ocurren sin verificar lo que está sucediendo, lo que puede llevar a la ejecución del código, actualizaciones, etc., dependiendo de la forma en que la web está diseñada. Por ejemplo, cuando un atacante envía una entrada de usuario sin filtrar a la capa de base de datos de una aplicación web, se produce una inyección SQL, lo que les permite recuperar información a la que no deberían acceder, o incluso cambiar los registros existentes.
- Defectos lógicos Estas pruebas de seguridad web suelen ser el resultado de malas prácticas de programación, lo que permite a los atacantes eludir el sistema de autenticación, elevar los permisos del sitio web en sí, etc. Algunos ejemplos incluyen campos ocultos en formularios (por ejemplo, ID de sesión) y exposición. end data / code se transmite a mensajes de error de cara al público que contienen detalles clave sobre cómo funcionan ciertas partes de la página web.
en conclusión:
Para ser un negocio exitoso hoy en día, su sitio web no solo debe funcionar y verse bien, sino que también debe protegerlo de las amenazas en línea. Las pruebas de seguridad web son el proceso de identificar las vulnerabilidades del sitio web que los atacantes pueden usar para sus propios fines, como robar datos o instalar malware en su sitio web sin ser descubiertos. La contratación de expertos que puedan identificar y resolver estos problemas puede mantener a los piratas informáticos alejados de su sistema, lo que le permite ahorrar tiempo y dinero.
