Trabajo de investigación de mejores prácticas en desarrollo de sistemas web contra ataque de inyección

Abstract

El manejo de información en un tiempo real es lo que las empresas anhelan en la actualidad; para ello es necesario el uso de sistemas de información en sus diversas presentaciones. Pero al construir las aplicaciones descuidan la parte seguridad por el afán de obtener la información en la brevedad posible y los controles de seguridad no son implementados o son configurados de forma errónea y no son evaluados en su integridad; por ello los sistemas son vulnerables a diversos tipos de ataque por terceros, ocasionando una desconfianza en los usuarios y grandes pérdidas económicas para la organización. El área responsable de la seguridad informática de las empresas suele preocuparse en la funcionalidad del sistema y no evalúa la calidad y seguridad; debido al costo alto que ocasiona en una empresa la validación, verificación e implementación de controles de seguridad. Gran parte de las vulnerabilidades que presentan se dan por errores de programación, falta de aseguramiento de control y calidad de software; que al ser alojados a un hosting están propensos a todo tipo de amenazas con consecuencias del alto riesgo. En la investigación se realiza el estudio del ataque más frecuente en estos últimos veinte años (según estadísticas de ESET, Acunetix, OWASP entre otras instituciones de renombre) que es Inyección; se propone la manera correcta y segura para desarrollar aplicaciones Web contra ataques de Inyección. Porque al final estos errores básicos y/o comunes de programación se transforman en grandes problemas de seguridad, generando gran impacto económico en contra de la organización. El estudio incluye una serie de lineamientos de las mejores prácticas de OWASP, SANS y/o CVE, componentes del estándar ISO 27001, COBIT, modelos de calidad de software y entre otros que asegure la protección contra ataque de Inyección. Al término del estudio, se habrá obtenido: - Recomendaciones de herramientas y/o técnicas para prueba de software contra ataque de inyección. - Enunciados de buenas prácticas de codificaciones de software y uso de herramientas para evitar ataque de inyección. - Recomendaciones de herramientas para testing de portales web contra ataque de inyección.