0
0
Navegar pelo mundo obscuro das aplicações web modernas pode ser um campo minado do ponto de vista da segurança cibernética. Muitas dessas aplicações críticas contêm um labirinto de camadas, e se não forem projetadas com segurança em mente, podem ser um terreno fértil para vulnerabilidades.
Portanto, é essencial que as organizações localizem e entendam qualquer aspecto que possa ser explorado como um ponto de entrada por um hacker experiente. Para isso, as equipes de segurança devem obter uma melhor compreensão da fraqueza em sua arquitetura de aplicativos, a fim de reduzir sua superfície de ataque global.
Normalmente, o aplicativo web é onde o cliente identifica informações pessoalmente identificáveis (PII) e dados financeiros privilegiados são coletados e armazenados. Essas informações não são apenas incrivelmente valiosas para as operações comerciais do dia a dia, mas também são protegidas por requisitos internacionais de regulamentação cruzada e, o não cumprimento pode resultar em multas pesadas, bem como perda substancial da confiança do cliente e publicidade negativa.
Além disso, como a maioria das empresas priorizou a continuidade operacional na esteira do “novo normal” de trabalhar em casa, muitas aplicações ficaram sub-seguras devido a restrições de recursos e tempo.
No entanto, essa abordagem equivocada pode se correlacionar diretamente com a tendência crescente de má higiene da segurança cibernética entre os trabalhadores remotos no Reino Unido. Quando você combina essa apatia de segurança com a determinação de criminosos cibernéticos, você tem uma mistura perigosa.
Os criminosos cibernéticos estão sempre avançando suas táticas para invadir aplicativos da Web para extrair dados pessoais. Alguns podem pensar que os controles básicos do usuário e o firewall de aplicativos web (WAF) sozinhos evitarão um cenário desastroso, mas infelizmente ninguém está imune a essas simples explorações de aplicativos.
Foi documentado como os ataques de aplicativos web podem ser perigosos para as empresas, com mais de dois quintos de todas as violações de dados (43%) em 2019 ligado a essa ameaça. Além disso, eles são a maior causa de violações de dados, de acordo com o relatório Verizon DBIR 2020.
Os criminosos cibernéticos são conhecidos por realizar sua diligência e farão grandes esforços ao selecionar um alvo, coletando meticulosamente informações sobre sua potencial vítima, isolando pontos fracos nos sistemas antes de iniciar um ataque. As empresas que não conseguem resolver possíveis problemas dentro de sua infraestrutura on-line estão subestimando a vontade do hacker moderno.
Mesmo o menor erro poderia dar a um hacker uma base em seu sistema, ou à vista para o seu pote de ouro sem que você perceba.
É importante lembrar que não há uma solução de tamanho único quando se trata de corrigir aplicativos web, por isso uma compreensão intrínseca da infraestrutura chave é essencial para proteger informações confidenciais.
Mapeamento e mitigação da superfície de ataque
Então, como as equipes de segurança podem mapear com sucesso toda a superfície de ataque do aplicativo web e identificar os vetores de ataque críticos antes que seja tarde demais? Isso pode ser dividido em três estágios-chave, começando com a descoberta do aplicativo. As organizações devem ter um inventário de quais aplicativos web críticos possuem e onde eles são mais propensos a serem expostos.
Aqui está um problema, pois o número de aplicativos e vulnerabilidades associadas poderia facilmente estar na casa dos milhares, especialmente em organizações maiores onde a TI sombra é mais prevalente, por isso é vital localizar os aplicativos web expostos publicamente em uma cadência regular para lançar luz sobre potenciais pontos cegos.
O próximo curso de ação é rever o nível de risco de aplicativos web identificados contra as sete rotas de ataque mais exploradas que os hackers usam contra vulnerabilidades de software:
- Em primeiro lugar, você tem mecanismos de segurança,que determinam como o tráfego da Web entre os usuários e o aplicativo é protegido.
- Em seguida, vem o método no qual a página foi criada, dependendo do que a linguagem de codificação e o programa de design web são usados, poderia revelar mais problemas de segurança.
- A terceira rota de ataque é nomeada o grau de distribuição e se correlaciona com o número de páginas criadas à medida que mais páginas feitas equivalem a haver mais potencial para encontrar problemas e, portanto, todas as páginas devem ser monitoradas.
- A falsificação de autenticação está em quatro e afirma que a verificação da identidade de um usuário legítimo acessando o aplicativo web é necessária com todos os privilégios de acesso revisados e deve ser restrita apenas àqueles que precisam dele, caso contrário, qualquer pessoa pode obter entrada.
- Vetores de entrada também são um problema com os campos de entrada, maior a probabilidade de a superfície de ataque aumentar, o que pode levar a ataques de scripting cross site.
- No número seis temos conteúdos ativos que são usados quando os aplicativos executam scripts, ele inicia conteúdos ativos e, dependendo da forma como esses scripts foram implementados, a superfície de ataque pode aumentar se um site tiver sido desenvolvido usando várias tecnologias de conteúdo ativo.
- Por fim, o sétimo vetor de ataque é o cookies, que são necessários para permitir que a segurança do aplicativo em tempo real monitore a atividade da sessão, o que é benéfico para mitigar o acesso não autorizado, especialmente contra criminosos cibernéticos.
Protegendo as Joias da Coroa
Quando as aplicações web foram corroboradas com os sete vetores discutidos acima, deve-se correlacionar os resultados contra temporal (criticidade empresarial) e ambiental (frequência de atualizações) a fim de determinar a postura geral de risco. Quando o conhecimento sobre a superfície total de ataque endereçado for obtido, incluindo áreas de fraqueza e força, as equipes de segurança terão a munição necessária para colocar em prática os controles de segurança.
As equipes de segurança terão então os dados necessários, uma vez mapeados os escores de riscos, para implementar testes eficazes e contínuos de aplicação dentro da defesa de segurança e fornecer retorno sobre o investimento.
FONTE: INFOSECURITY MAGAZINE