Auditoría de API

Antes de auditar una aplicación es necesario determinar el ámbito sobre el que se realizará la revisión de seguridad con ciertos aspectos clave sobre esta y que consiste, entre otros, en estos:

• Descubrimiento de aplicaciones.
• Identificación de puntos de entrada a la aplicación.
• Análisis de códigos de error.
• Identificación de plataformas.

Los ataques que pueden realizarse a las aplicaciones, se pueden iniciar a través del análisis de los protocolos implementados por estas. A veces pueden no implementarse controles de seguridad lo suficientemente robustos, y otras veces, implementar librerías propietarias de protocolos estándar de forma incorrecta que implican también vulnerabilidades de seguridad en el sistema.

El análisis de la infraestructura y la topología de la arquitectura pueden revelar información como por ejemplo el código fuente, métodos HTTP soportados, funcionalidades de administración, métodos de autenticación o configuraciones de la infraestructura. En este punto se desarrollan las siguientes pruebas:

• Pruebas sobre SSL/TLS.
• Pruebas sobre la gestión de la configuración en la infraestructura.
• Pruebas sobre la gestión de la configuración en la aplicación.
• Pruebas sobre el manejo de extensiones de archivos.
• Identificación de ficheros antiguos, de backup o no referenciados.
• Acceso a interfaces de administración.
• Pruebas sobre métodos HTTP y XST.

Autenticación: “es el acto de establecimiento o confirmación de algo (o alguien) como auténtico”. Un ejemplo de este proceso es el proceso de inicio de sesión, para realizar este análisis se realizan las siguientes pruebas:

• Transmisión de credenciales a través de un canal cifrado.
• Pruebas de enumeración de usuarios.
• Pruebas de identificación de cuentas de usuario previsibles.
• Pruebas de fuerza bruta.
• Pruebas para sobrepasar el esquema de autenticación.
• Pruebas de finalización de sesión.
• Pruebas sobre implementaciones de CAPTCHA.
• Pruebas de autenticación basadas en múltiples factores.
• Pruebas de condiciones de carrera.

En el núcleo de cualquier aplicación basada en web se encuentra la forma en que mantiene el control de estado y, por tanto, la interacción con el usuario. En el sentido más amplio, la gestión de sesiones abarca todos los controles sobre un usuario, desde la autenticación hasta la salida de la aplicación.

• Pruebas del esquema de gestión de sesiones.
• Pruebas sobre los atributos de las cookies.
• Pruebas de fijación de sesión.
• Pruebas sobre exposición de variables de sesión.
• Pruebas de CSRF.

Autorización: “Es el concepto de permitir el acceso a los recursos únicamente a aquellos permitidos a utilizarlos”. Lo que se pretende analizando el esquema de autorización es entender su funcionamiento y con esa información intentar evadir el mecanismo de autorización. Para ello realizamos las siguientes pruebas:

• Pruebas de acceso a recursos protegidos.
• Pruebas para sobrepasar el esquema de autorización.
• Pruebas de elevación de privilegios.

Las reglas de negocio pueden incluir reglas que expresen políticas de negocio (como productos, precios o ubicaciones) o workflows basados en tareas ordenadas de transmisión de datos de un participante (una persona o un componente software) a otro.

• Pruebas sobre las reglas de negocio.
• Pruebas de abuso de funcionalidad.

El principal problema que nos encontramos en las aplicaciones, es que no se realizan adecuadamente las validaciones de los datos de entrada antes de usarlos, esto provoca que la mayoría sean sensibles a ataques contra el sistema de ficheros o ataques de desbordamiento de buffer entre otros, al verse afectadas por vulnerabilidades. Para llevar a cabo este análisis se realizan las siguientes pruebas:

• Pruebas de XSS (stored, reflected y basados en el DOM) / Cross Site Flashing.
• Pruebas de inyección de código SQL / inyección LDAP / inyección ORM / inyección XML / inyección SSI / inyección XPATH / inyección IMAP/SMTP / inyección de código / inyección de comandos de sistema operativo.
• Pruebas de desbordamiento de memoria.
• Pruebas de HTTP Splitting/Smuggling.

La negación de servicio (DoS) tiene como objetivo impedir que un sistema proporcione la actividad habitual a los usuarios. Estos ataques maliciosos pueden producirse privando a un sistema de recursos críticos, explotando vulnerabilidades o mediante un abuso de funcionalidad.

Lo que se pretende en este punto es verificar si el sistema resulta vulnerable a este tipo de amenazas, para ello se llevan a cabo las siguientes pruebas:

• Pruebas de bloqueo de cuentas de usuario.
• Pruebas sobre escritura en disco.
• Pruebas sobre liberación de recursos.
• Pruebas de consultas SQL intensivas de CPU.

Se llevará a cabo un análisis sobre los Web Services implementados para intentar detectar deficiencias. Se revisarán controles de acceso y seguridad a nivel IP, la configuración, fugas de información motivada por deficiencias en la gestión de errores y excepciones, filtros de validación implementados, así como la existencia de controles de auditoría y logging.

• Pruebas de recopilación de información.
• Pruebas sobre la estructura XML.
• Pruebas de parámetros GET de HTTP y REST.
• Pruebas de datos adjuntos en SOAP.
• Pruebas de repetición en Web Services.

• Resumen ejecutivo de alto nivel con la clasificación de los resultados.
• Detalle de todas las pruebas realizadas especificando su objetivo.
• Resultados obtenidos en los diferentes test que se han realizado con descripciones paso a paso del proceso de detección y explotación de cada vulnerabilidad.
• Recomendaciones que permitan solucionar de la forma más acertada los problemas de seguridad encontrados.
• Clasificación de los problemas de seguridad según su nivel de peligro, incluyendo valores CVSS. Esto permitirá a la empresa poder elaborar un plan de actuación eficiente para resolver estos problemas de seguridad.
• Reunión orientada a explicar los resultados obtenidos en la auditoría y asesorar sobre las posibles soluciones que existan para los problemas de seguridad encontrados.