Pruebas de Seguridad de Aplicaciones: OWASP Top 10, SAST, DAST y SCA

A01:2025 – Control de Acceso Roto

El control de acceso aplica políticas para que los usuarios no puedan actuar fuera de sus permisos previstos. Los fallos típicamente conducen a la divulgación no autorizada de información, la modificación o destrucción de todos los datos, o la ejecución de una función de negocio fuera de los límites del usuario.

Aspectos Prácticos

• Ejemplos prácticos de controles de acceso rotos

• Controles de acceso seguros y mejores prácticas

A02:2025 – Configuración de Seguridad Incorrecta

La configuración de seguridad incorrecta ocurre cuando un sistema, aplicación o servicio en la nube se configura de manera incorrecta desde el punto de vista de la seguridad, creando vulnerabilidades.

Aspectos Prácticos

• Ejemplos reales de configuraciones incorrectas

• Pasos para prevenir la configuración incorrecta, incluyendo gestión de configuración y herramientas de automatización

A03:2025 – Fallos en la Cadena de Suministro de Software

Los fallos en la cadena de suministro de software son interrupciones u otras compromisos en el proceso de construcción, distribución o actualización de software. A menudo son causados por vulnerabilidades o cambios maliciosos en el código de terceros, herramientas u otras dependencias en las que se basa el sistema.

A04:2025 – Fallos Criptográficos

En general, todos los datos en tránsito deben estar cifrados en la capa de transporte (capa 4 del OSI). Obstáculos anteriores, como el rendimiento de la CPU y la gestión de claves privadas/certificados, ahora son manejados por CPUs con instrucciones diseñadas para acelerar el cifrado (por ejemplo, soporte AES) y la gestión de claves privadas y certificados se ha simplificado mediante servicios como LetsEncrypt.org, con los principales proveedores de nube ofreciendo servicios de gestión de certificados aún más estrechamente integrados para sus plataformas específicas.

Más allá de asegurar la capa de transporte, es importante determinar qué datos necesitan cifrado en reposo, así como qué datos necesitan cifrado adicional en tránsito (en la capa de aplicación, capa 7 del OSI).

Por ejemplo, las contraseñas, números de tarjetas de crédito, registros de salud, información personal y secretos de negocio requieren protección adicional, especialmente si esos datos están sujetos a leyes de privacidad, como el Reglamento General de Protección de Datos (GDPR) de la UE, o regulaciones como el Estándar de Seguridad de Datos PCI (PCI DSS).

Aspectos Prácticos

• Análisis detallado de fallos criptográficos, como algoritmos de cifrado débiles o una gestión de claves inadecuada

• Importancia de mecanismos criptográficos robustos, protocolos seguros (SSL/TLS) y ejemplos de criptografía moderna en la seguridad web

A05:2025 – Inyección

Una vulnerabilidad de inyección es un defecto del sistema que permite a un atacante insertar código o comandos maliciosos (como código SQL o shell) en los campos de entrada de un programa, engañando al sistema para que ejecute el código o comandos como si fueran parte del sistema. Esto puede conducir a consecuencias verdaderamente graves.

Aspectos Prácticos

• Desglose detallado de inyección SQL, NoSQL, OS y LDAP

• Técnicas de mitigación utilizando sentencias preparadas, consultas parametrizadas y escapado de entradas

A06:2025 – Diseño Inseguro

El diseño inseguro es una categoría amplia que representa diferentes debilidades, expresadas como “diseño de control ausente o ineficaz”.

El diseño inseguro no es la fuente de todas las otras categorías de riesgo de los Top Ten. Tenga en cuenta que hay una diferencia entre diseño inseguro e implementación insegura. Distinguimos entre defectos de diseño y defectos de implementación por una razón: tienen causas raíz diferentes, ocurren en momentos diferentes del proceso de desarrollo y tienen remediaciones diferentes.

Un diseño seguro aún puede tener defectos de implementación que conduzcan a vulnerabilidades que pueden ser explotadas. Un diseño inseguro no puede ser corregido por una implementación perfecta, ya que los controles de seguridad necesarios nunca fueron creados para defenderse contra ataques específicos.

Uno de los factores que contribuyen al diseño inseguro es la falta de perfilado de riesgos empresariales inherentes al software o sistema que se está desarrollando, y por lo tanto el fracaso en determinar qué nivel de diseño de seguridad se requiere.

Aspectos Prácticos

• Exploraremos defectos de diseño que pueden conducir a vulnerabilidades, como la validación de entradas inadecuada

• Estudiar estrategias para la arquitectura segura y principios de diseño seguro

A07:2025 – Fallos en la Autenticación

Cuando un atacante es capaz de engañar a un sistema para que reconozca a un usuario inválido o incorrecto como legítimo, esta vulnerabilidad está presente.

Aspectos Prácticos

• Problemas comunes de autenticación

• Estrategias de autenticación seguras, como la autenticación multifactor y el manejo apropiado de sesiones

A08:2025 – Fallos de Integridad de Software o Datos

Los fallos de integridad de software y datos se relacionan con el código y la infraestructura que no protegen contra el código o datos no válidos o de confianza no verificada que se tratan como de confianza y válidos.

Un ejemplo de esto es cuando una aplicación depende de complementos, bibliotecas o módulos de fuentes no confiables, repositorios y redes de distribución de contenido (CDNs).

Un pipeline CI/CD inseguro que no consume ni proporciona comprobaciones de integridad del software puede introducir la posibilidad de acceso no autorizado, código inseguro o malicioso, o compromiso del sistema.

Otro ejemplo de esto es un CI/CD que extrae código o artefactos de lugares no confiables y/o no los verifica antes del uso (verificando la firma o un mecanismo similar).

Aspectos Prácticos

• Enfoque en problemas como actualizaciones de software no confiables y manipulación de datos

• Mecanismos de actualización seguros y comprobaciones de integridad de datos

A09:2025 – Fallos en el Registro de Eventos y Alertas de Seguridad

Sin registro de eventos y monitoreo, los ataques y brechas no pueden ser detectados, y sin alertas es muy difícil responder rápida y efectivamente durante un incidente de seguridad.

El registro de eventos insuficiente, el monitoreo continuo, la detección y las alertas para iniciar respuestas activas ocurren en cualquier momento.

Aspectos Prácticos

• Importancia de registrar información relevante para la seguridad y monitorear actividades sospechosas

• Herramientas y prácticas para un registro adecuado y monitoreo en tiempo real para detectar brechas temprano

A10:2025 – Manejo Inadecuado de Condiciones Excepcionales

El manejo inadecuado de condiciones excepcionales en el software ocurre cuando los programas no previenen, detectan ni responden a situaciones inusuales e impredecibles, lo que lleva a cuelgues, comportamiento inesperado y a veces vulnerabilidades.

Esto puede involucrar uno o más de los siguientes 3 fallos:

• La aplicación no previene que una situación inusual ocurra

• No identifica la situación mientras ocurre

• Responde pobremente o no responde en absoluto a la situación después

SAST – Pruebas Estáticas de Seguridad de Aplicaciones

1. Qué es el análisis estático y cuándo ejecutarlo en el SDLC (shift left)

2. Tipos de vulnerabilidades detectables a través de SAST, código vulnerable vs código seguro

3. Resumen de herramientas de SAST (por ejemplo, Semgrep, SonarQube, Checkmarx, dependiendo de la pila del cliente)

4. Ejercicio práctico: ejecutar un escaneo SAST en un repositorio con vulnerabilidades introducidas deliberadamente, interpretar resultados, triaje de falsos positivos vs vulnerabilidades reales

DAST – Pruebas Dinámicas de Seguridad de Aplicaciones

1. Diferencia entre SAST y DAST, pruebas de caja negra en la aplicación en ejecución

2. Flujo del escaneo DAST, rastreo, fuzzing, análisis de respuesta

3. Resumen de herramientas de DAST (por ejemplo, OWASP ZAP, Burp Suite)

4. Ejercicio práctico: ejecutar un escaneo DAST en una aplicación de prueba vulnerable (por ejemplo, OWASP Juice Shop), identificar y validar los hallazgos

SCA – Análisis de Composición de Software

1. Riesgo de dependencias y bibliotecas de terceros, vulnerabilidades heredadas

2. SBOM, Lista de Materiales de Software, qué es y por qué importa

3. Resumen de herramientas de SCA (por ejemplo, Dependency Check, Snyk, GitHub Dependabot)

4. Ejercicio práctico: ejecutar un escaneo SCA en un proyecto real, identificar dependencias vulnerables y construir un plan de remediación (actualizar, parchear, mitigar)