En Epic Bounties os queremos mostrar los conceptos básicos para efectuar un WAPT, así como las diferentes fases que debe ejecutar con el objetivo de identificar, reunir y remediar las distintas vulnerabilidades que puede tener su empresa.
¿Qué son los tests de intrusión de aplicaciones web?
Un test de intrusión de aplicaciones web o Web Application Penetration Testing (WAPT) tiene como objetivo reconocer vacíos o lagunas de seguridad activos en la aplicación ocasionados por la realización del ataque.
¿Cómo actúa un WAPT?
El proceso que lleva a cabo el test de intrusión se basa en efectuar un “hacking” en el sistema informático para poder identificar las vulnerabilidades y posibles errores de seguridad existentes que estén presentes en la solicitud de la empresa para luego informarle de estos mismos.
Anteriormente, se presenciaban los ataques sobre todo en las redes. El hacker informático consigue el acceso al sistema de la red de la empresa y ahí toma el control del servidor dentro de esa red y realiza su ataque. Sin embargo, hoy en día, existen ya una gran variedad de aplicaciones web en los que son muy diferentes entre ellas, por lo que no hay un procedimiento decisivo. Aun así, realizar tests de intrusión es necesario en las empresas para proteger sus aplicaciones web.
Principales fases del test de intrusión de aplicaciones web
Aunque hayamos destacado anteriormente que este tipo de test no es definitivo para todas las aplicaciones web, mostramos las principales fases para llevarlo a cabo con éxito:
- Recopilación de información.
- Test de vulnerabilidad.
- Evaluación de riesgos.
- Resultados.
Recopilación de información
Antes de comenzar el test de intrusión, se necesita la recopilación de la URL, documentaciones y pruebas válidas de la empresa y además se deberá comprender las funcionalidades de la aplicación, enumerar todas las áreas y enlaces que deben investigarse, identificar los puntos de entrada y salida y analizar códigos de error con el fin de identificar las vulnerabilidades que estén asociadas.
Test de vulnerabilidad
Esta fase supone el análisis de la aplicación web para identificar las debilidades de seguridad o vulnerabilidades. Aquellos problemas reconocidos se redactarán y se presentarán a la empresa unido con las soluciones estudiadas.
Como ha leído anteriormente, cada aplicación web es diferente y por ello existen diferentes áreas en las que se deberá hacer el test mencionado. Algunas áreas en las que se efectuaría el test son el área de autenticación, de autorización, de gestión de sesiones, de validación de entrada, entre otros.
Evaluación de riesgos
Aquí se identifica el impacto real que ha causado aquella vulnerabilidad oculta, es decir, se calcula su gravedad que ha podido causar.
Para llevar a cabo una buena evaluación se debe principalmente identificar aquella vulnerabilidad, y una vez identificado se debe calcular la probabilidad estimada de que un hacker descubra y explote la vulnerabilidad. Finalmente se estima el impacto o daño que podría causar dicha explotación de la vulnerabilidad de la aplicación web y se determina la gravedad del riesgo combinando la estimación de la probabilidad con la esitmacion del impacto.
Resultados
En la última fase del test de intrusión se deberá generar y presentar un informe detallado para la empresa que contenga todos los hallazgos generales de vulnerabilidades identificadas con sus respectivos remedios.