Recibido: 06-=
04-2021
/ Revisado: 14-04-2021 / Aceptado: 09-05-2021 / Publicado: 04-06-2021
Aplicación de MAGERIT pa=
ra
reducir riesgos en servicios Web en un contexto académico en Ecuador=
.
DOI:
Applicatio=
n of
MAGERIT to reduce risks in Web services in an academic context in Ecuador.<=
/span>
Diego Jácome Segovia. [1], Jessica Castillo Fiallos. [2], Carmita
Mantilla Cabrera. [3] & Byron
Ernesto Vaca Barahona. [4]
Abstract
This study prese=
nts an
adaptation of the MAGERIT methodology that allows us to manage the IT secur=
ity
risks of a company's web services. For this purpose, the first step was to
determine the company’s information assets along with possible threat=
s,
and in the event of materialization the impact of these threats was then
measured to identify the safeguards of these assets. After this, a web serv=
ices
vulnerability detection test was performed using a free software tool called
VEGA. Finally, the level of risk was determined so that IT staff will be be=
tter
able to make future decisions. In the analysis of the vulnerability of web
services, the most common vulnerabilities found were: SQL Injection, PHP Er=
ror
Detected and Directory Listing Detected, among others. With the implementat=
ion
of this model, high risk vulnerabilities were reduced to 87.87% and 12.13% =
of
all vulnerabilities were eliminated.
Keywords: Vulnerability, Risk, Web Services, Security, MAGERIT, VEGA<= o:p>
Resumen
Se presenta un modelo basado en la metodología
MAGERIT que permite gestionar los riesgos de seguridad informática de
los servicios web de una empresa. Para este propósito se determinaron
los activos de información con sus posibles amenazas y el impacto que
estas tendrían si se materializaran, luego se identificó las
salvaguardas de los activos y se realizó la detección de
vulnerabilidades en los servicios web mediante el uso de la herramienta
gratuita VEGA. Finalmente, se determinó el nivel del riesgo que a fu=
turo
permitirá al personal de tecnologías tomar mejores decisiones=
. En
el resultado del análisis de vulnerabilidades de los servicios web se
identificaron como más frecuentes: SQL Injectio=
n,
PHP Error Detected y Direc=
tory
Listing Detected, e=
ntre
otras, con lo que al aplicar el modelo propuesto se redujo un 87.87% las
vulnerabilidades altas encontradas y se eliminaron el 12.13% d=
e las
mismas.
Palabras clave:
Inseguridad, Amenazas, URLs, Seguridad, MAGERIT, VEGA
Introducción.
Con la gran cantidad de vulnerabilidades
informáticas conocidas y amenazas, los activos informáticos
están más expuestos que nunca a riesgos de índole como=
: el
robo de información, perdida de dinero y clientes, falta de disponib=
ilidad
del servicio, y sobre todo la credibilidad de la empresa hacia el mundo
exterior, por esto es necesario que las empresas u organizaciones cuenten c=
on
un modelo de gestión de riesgos que ayude a reducir el impacto que
ocasionaría que una de las vulnerabilidades si llegase a ser materia=
lizada. La gestión de riesgos es un
enfoque que nos permite manejar la probabilidad de que una o varias amenazas
tomen ventaja de una vulnerabilidad y el impacto asociado que estas
causarían en el evento de que sucedan. Por lo que se utilizan difere=
ntes
controles, políticas, normas, estrategias para poder manejarlo y
mitigarlo utilizando los recursos disponibles (Freitas, 2009).
La gestión de riesgos en los sistema=
s web
puede ser compleja debido al desconocimiento con respecto a este tema. Por =
lo
que el principal problema en Ecuador es la falta de un estándar
específico para la gestión de este tipo de riesgos por lo que=
es
necesario un modelo o metodología que establezca reglas, normas,
controles, políticas y procedimientos para los mismos, con el objeti=
vo
de analizar, prevenir, proteger o mitigar las posibles vulnerabilidades que=
son
condiciones que cuando son explotadas por personas malintencionadas pueden =
dar
lugar a fallas de seguridad, lo que representa una debilidad latente en la
seguridad, integridad, disponibilidad de la información sensible que
estos sistemas manejan, la cual podría ser utilizada por terceras pe=
rsonas
sin la autorización de la institución
El siguiente trabajo propone un modelo para=
la
gestión de riesgos para servicios web basado en la metodología
MAGERIT, el cual consta de seis etapas: identificación de activos
según su importancia en la organización, determinación=
de
amenazas que existen en el entorno, las salvaguardas que existen al momento=
de
realizar la primera evaluación de riesgos, el impacto asociado al
riesgo, análisis de las posibles y conocidas vulnerabilidades y
finalmente el riesgo actual de la organización. Este modelo est&aacu=
te;
enfocado para ser implementado en Instituciones educativas ya que son un
potencial objetivo para cometer delitos informáticos
Trabajos
relacionados
Para el estudio se consideraron=
de
mayor relevancia los resultados de las investigaciones que se listan a
continuación:
En la publicación efectu=
ada en octubre
del 2018, titulada Modelo para la reducción de riesgos de seguridad
informática en servicios web
En un trabajo previo de (Montev=
erde y Campiolo, 2014), menciona que la seguridad web es
importante para proporcionar protección a los clientes y a los servi=
cios
web. Múltiples vulnerabilidades web son explotadas todos los d&iacut=
e;as
y los ataques tienen aumentado debido a las nuevas herramientas y aplicacio=
nes
web, se lleva a cabo un análisis de vulnerabilidades web en diferent=
es
tipos de aplicaciones con la herramienta de escáner VEGA. Un conjunt=
o de
Sitios Web heterogéneos y brasileños fueron seleccionados y
analizados, en consecuencia, las principales formas de ataques utilizados en
aplicaciones web se han investigado, los resultados muestran cómo las
vulnerabilidades web pueden ser explotadas fácilmente, por lo que se=
verifica
que los sitios web deben mejorar su seguridad con urgencia.
(Khari y
Singh, 2014), en su investigación, indica que las aplicaciones resul=
tan
ser herramientas de uso cotidiano por muchos usuarios con la creciente
popularidad de la web, con lo que los usuarios son más propensos a l=
os
ataques maliciosos en consecuencia la necesidad de pruebas de seguridad sur=
ge
también para ayudar a mitigar las vulnerabilidades en la web. Lo que
ocurre frecuentemente en aplicaciones web son el resultado de problemas de
validación de entrada de genéricos como: Inyección SQL=
y
Cross-Site Scripting (XSS), etc,
estas vulnerabilidades son más a menudo explotados por atacantes que=
tengan
acceso a información sensible. VEGA y ZAP son escáneres de
código abierto que ofrecen una buena opción para probar
vulnerabilidades potenciales en forma automatizada, como resultado de esto =
muchos
sitios web en Internet que son vulnerables.
El estudio de (Vicente y Ji=
menez,
2014), indica que se han desarrollado varios métodos basados en la n=
orma
ISO 27000 norma internacional / IEC para lidiar con el análisis de
riesgos en los sistemas de información (SI) y proponen una
extensión de la metodología MAGERIT basado en modelos computa=
cionales
difusos clásico, usa una escala lingüística térmi=
no
para representar los valores de activos, sus dependencias, frecuencia y la
degradación de los activos asociados a las amenazas y respecto a la
selección de las salvaguardias preventivas para reducir los riesgos =
en
IS, propone un método basado en programación dinámica =
que incorpora
recocido simulado para hacer frente a los problemas optimizaciones con el
objetivo de minimizar los costos mientras se mantiene el riesgo a niveles
aceptables.
La investigación
científica propuesta por (Kyushu, Hori y Sakurai, 2009), co=
mpara
cuatro métodos de análisis de riesgos: Mehari, Magerit, NIST800-30 y la Guía de Gestió=
n de
Seguridad de Microsoft. Mehari es un método para el análisis y
gestión de riesgos, Magerit es un
análisis de riesgos y metodología de gestión de sistem=
as
de información, NIST 800-30 es una guía d=
e riesgos para los sistemas de
tecnología de la información y la seguridad es una guí=
a de
gestión de riesgos de seguridad desarrollado por Microsoft. Compara =
los
métodos basados en dos criterios principales: los pasos que utilizan=
los
métodos para llevar a cabo la evaluación del riesgo y el
contenido de los métodos y documentos complementarios previstos con
ellos. Se encontró que todos los métodos siguen los tres prim=
eros
pasos generales del análisis de riesgos. Sin embargo, el méto=
do
Mehari, el método Magerit y la Guí=
;a de
administración de seguridad de Microsoft no incluyen recomendaciones
para el control.
La investigación plantea=
da por
(Kwan & Leung, 2010) indica que los riesgos=
no
siempre son independientes ya que no existe una administración clara
entre ellos. Las dependencias pueden ser identificadas de forma
explícita y analizadas, los administradores del proyecto deben ser
capaces de planificar estrategias efectivas contra los riesgos con la final=
idad
de tomar decisiones, sin embargo, la investigación fue solamente
teórica y no fue implementada para verificar la reducción de
riesgos que pruebe la propuesta.
Las Instituciones educativas no=
cuentan
con estándares para garantizar la integridad de su informació=
n, ya
que existe una variedad de vulnerabilidades las cuales pueden aprovechar las
amenazas y convertirse en riesgos que perjudican y ocasionan pérdidas
económicas en las mismas, La investigación se realizó =
en
el Departamento de Sistemas de una entidad académica, para la
identificación las vulnerabilidades con la herramienta VEGA que es p=
ropi
del sistema operativo Linux.
Metodología
Adaptación y aplicaci&=
oacute;n
de la metodología MAGERIT
Debido a que se necesita evaluar el nivel de riesgo e=
n las
Tecnologías de la Información y adoptar medidas apropiadas pa=
ra
el control, la metodología presentada se basó en MAGERIT, una=
de
las más utilizadas en Latinoamérica ya que contempla má=
;s
ampliamente los parámetros de la evaluación y existe soporte =
en
español, su esquema metódico se presenta en la Figura 1.
<=
span
lang=3DES>
Figura N° 1=
: Metodología MAGERIT para
determinar el riesgo
Fuente: http://polux.unipiloto.edu.co:8080/=
00004420.pdf
=
=
Definir
del alcance. Se realizaron=
las
pruebas para identificar los riesgos y sus posibles soluciones a los servic=
ios
Web de la Institución Educativa.
I=
dentificar
de Activos.
Los recursos que pertenecen a l=
os
sistemas de información para facilitar el funcionamiento de la
organización en cumplimiento de sus objetivos, se los denominó
activos (Aguilera, 2010, pág. 9).&n=
bsp;
Es necesario realizar el estudio para la identificación de los
activos ya que estos guardan relación entre ellos y si ocurre da&nti=
lde;o
en uno puede afectar a otros, el administrador del Departamento de Computac=
ión
fue quien los identificó a través de un inventario donde cons=
tan
activos físicos, hardware y software, los de información
tecnológicos de la organización se presentan.
Activos
· =
URLs.
Servicios Web
· =
Equipos
Informáticos
· =
Soport=
es de
información (medios de backup)
· =
Instal=
aciones
· =
Person=
al
I=
dentificar
de Amenazas.
Para la identificación d=
e las
amenazas se consideraron las que pudieran causar cualquier tipo de evento q=
ue
produciría un daño sobre los elementos de un sistema de
información. Desde el punto de vista de la entidad que maneja los da=
tos,
existen amenazas de origen interno y externo como: agresiones técnic=
as,
naturales o humanos (Erb, 2014), como menciona =
la
Norma 27001, de acuerdo a las condiciones geográficas del lugar se
planteó un check li=
st
con las posibles amenazas. A continuación, se presenta la encuesta
realizada al administrador de TICs.
Amenazas
· =
Ca&iac=
ute;da
de energía
· =
Aver&i=
acute;a
de origen físico o lógica
· =
Acceso=
no
autorizado
· =
Errore=
s de los
usuarios
· =
Errore=
s del
Administrador
· =
Errore=
s de
configuración
· =
Errore=
s de
mantenimiento
· =
Manipu=
lación
de la configuración
· =
Hackin=
g
· =
P&eacu=
te;rdida
de datos
I=
dentificar
de Salvaguardas.
Se consideró como salvag=
uarda a
los mecanismos de protección que reducen la frecuencia de las amenaz=
as, limitan
el daño causado por estas y permiten mantener la triada de seguridad
informática CID: Confidencialidad, Integridad y Disponibilidad. Donde la confidencialidad busca que
solamente la persona o recurso autorizado tenga acceso a información=
o servicio
específico, la integridad asegura que la información no haya =
sido
alterada desde su origen al destino y la disponibilidad permite que la
información y/o servicios estén disponibles. Existen diferentes aspectos que pu=
ede
actuar como salvaguarda para alcanzar los objetivos de mitigar el riesgo.
I=
dentificar
de Impacto.
Del inventario de los activos c=
on su
respectivo costo monetario, se realizó un análisis del impacto
que tendría una amenaza sobre el activo sí llegara a material=
izarse,
la identificación de los impactos se desarrollara con repercusiones a
las dimensiones de valoración de Disponibilidad, Integridad,
Confiabilidad, Autenticidad de la información, estas dimensiones hac=
en
valioso al activo y la valoración de esta dimensión, es la me=
dida
del perjuicio para la organización.=
La escala de valoración que se implementa es Alto para un
daño grave, Medio para un daño importante, Bajo para un
daño menor.
I=
dentificar
de Vulnerabilidades.
Las vulnerabilidades está=
;n
directamente interrelacionadas con las amenazas, si no existe una amenaza
tampoco existe la vulnerabilidad porque no se puede ocasionar un dañ=
o.
Entonces la capacidad, condiciones y características del sistema que=
lo
pueden hacer susceptible a amenazas y sufrir algún daño se co=
nsidera
una vulnerabilidad. Dependien=
do del
contexto de la institución, se puede agrupar las vulnerabilidades en
grupos característicos: ambiental, física, económica, =
social,
educativo, institucional y política. (Erb,
2014)
En la tabla 3., se presentan los
servicios web identificados de la organización académica, con=
una
descripción y estados del mismo, sobre los cuales se realizaran los
análisis de vulnerabilidades, para este análisis se
utilizó la herramienta Vega de código libre, escrito en Java
basado en GUI y multiplataforma, incluye un escáner automatizado para
pruebas rápidas, un proxy de interceptación para
inspección táctica, XSS (cross-site
scripting), inyección de SQL y otras vulnerabilidades (Kali Tools,
2014), se puede ampliar su funcionalidad usando una poderosa API en lenguaje
Java script para realizar: escáner automatizado de rastreadores y
vulnerabilidades, interfaz de usuario coherente, crawl=
er
del sitio web, proxy de interceptación, SSL MITM, análisis del
contenido, alertas personalizables, base de datos y modelo de datos compart=
idos.
Servicios web
· =
Posgra=
do
· =
Ingres=
o de
Calificaciones
· =
Eva-Do=
cente
· =
Campus=
Virtual
· =
Bienes=
tar
· =
Recurs=
os
I=
dentificar
de Riego
Para que exista un riesgo debe =
existir
tanto una vulnerabilidad como una amenaza, por lo que para el desarrollo de
este punto se utilizó toda la información recolectada mediant=
e el
uso documentación bibliográfica, entrevistas al administrador=
del
departamento de TICs, pruebas y análisis=
con VEGA
(Aguilera, 2010). La valoraci=
ón
del nivel de riesgo existente sobre los activos, se asignó de 1 a 5,=
donde
5 es el más alto y se refiere un daño crítico a la
organización, 4 un daño muy alto, 3 daño grave, 2
daño importante, 1 daño menor, 0 daño irrelevante.
Resultados
Identificar de activos
relevantes. Se determinaron los activos que permitieron
identificar las amenazas a las que se encuentran expuestos, en la Tabla 1.,=
se
enumeran los activos relevantes pero con igual g=
rado
de importancia como resultado del análisis de ventajas y desventajas=
de
los mismos.
Tabla 1. Activos relevantes
|
No. |
Activos
de Información |
|
1 2 3 4 5 6 7 8 9 10 11 |
UPS Planta de energía Procesador 1 (Servidor 1) Procesador 2 (Servidor 2) Procesador 3 (Servidor 3) Procesador 4 (Servidor 4) Memoria 1 (Servidor 1) Memoria 2 (Servidor 2) Memoria 3 (Servidor 3) Memoria 4 (Servidor 4) Storage |
Identificar de Amenazas. En la Tabla 2., se presenta un listado de d=
iez
amenazas que pueden producir daños a los activos de la
institución.
Tabla 2. Identificación de Amenazas
|
No. |
Amenazas |
|
1 2 3 4 5 6 7 8 9 10 |
Caída de
energía Avería =
de
origen físico o lógica Acceso no auto=
rizado Errores de los
usuarios Errores del
Administrador Errores de
configuración Errores de
mantenimiento Manipulaci&oac=
ute;n de
la configuración Hacking Pérdida=
de
datos |
Identificar de salvaguardas. Los procedimientos y dispositivos que ayudan a reduci=
r los
riesgos como mecanismos de salvaguarda de los activos observados, se muestr=
an
en la Tabla 3.
Tabla 3. Identificación de Salvaguar=
das
=
|
Activos de
información |
Salvaguarda |
Dimensió=
;n |
|
UPS |
Protección del equipo dentro de la
organización |
Disponibilidad |
|
Planta de energía |
Protección del equipo dentro de la organización |
Disponibilidad |
|
Servidor 1 |
Claves Protección del equipo dentro de la
organización |
Disponibilidad Integridad Confidencialidad |
|
Servidor 2 |
Claves Protección del equipo dentro de la organización |
Disponibilidad Integridad Confidencialidad |
|
Servidor 3 |
Claves Protección del equipo dentro de la
organización |
Disponibilidad Integridad Confidencialidad |
|
Servidor 4 |
Claves Protección del equipo dentro de la organización |
Disponibilidad Integridad Confidencialidad |
|
Memoria 1 |
Protección del equipo dentro de la
organización |
Disponibilidad Integridad Confidencialidad |
|
Memoria 2 |
Protección del equipo dentro de la organización |
Disponibilidad Integridad Confidencialidad |
|
Memoria 3 |
Protección del equipo dentro de la
organización |
Disponibilidad Integridad Confidencialidad |
|
Memoria 4 |
Protección del equipo dentro de la organización |
Disponibilidad Integridad Confidencialidad |
|
Storage |
Protección del equipo dentro de la
organización |
Disponibilidad Integridad Confidencialidad |
|
Servicios Web |
Protección del servicio dentro de la organización |
Disponibilidad Integridad Confidencialidad |
|
Personal |
Plan de contingencia |
Disponibilidad Integridad Confidencialidad |
=
Identificar de
Vulnerabilidades. En la
Tabla 4., en forma de resumen se muestra el resultado del análisis de
vulnerabilidades realizado sobre seis de las aplicaciones web con la
herramienta VEGA, como se puede observar la aplicación con mayor
número de vulnerabilidades de grado alto recae sobre campus virtual =
y de
igual manera el mayor en los de grado bajo, también se presenta una
grave vulnerabilidad que consiste en envío de claves en texto plano =
en
los servicios de campus virtual, académico y recursos.
Tabla 4. Resultados de las pruebas realizad=
as
|
Nombre |
Grado |
Posgrados |
Ingreso de Calificaciones=
|
Eva-Docente |
Campus Virtual |
Bienestar |
Recursos |
Total |
|
No. |
No. |
No. |
No. |
No. |
No. |
No. |
||
|
Clear Password over HTTP |
Alto |
1 |
0 |
3 |
3 |
0 |
1 |
8 |
|
Cross Site Scripting=
|
Alto |
0 |
2 |
0 |
0 |
0 |
7 |
9 |
|
Page Fingerprint |
Alto |
5 |
0 |
0 |
0 |
0 |
2 |
7 |
|
Shell Injection |
Alto |
0 |
0 |
4 |
82 |
0 |
0 |
86 |
|
SQL Injection=
|
Alto |
6 |
2 |
9 |
33 |
0 |
0 |
50 |
|
HTTP Trace Support <=
span
class=3DSpellE>Detected |
Medio |
0 |
0 |
1 |
1 |
1 |
0 |
3 |
|
Local Filesystem |
Medio |
0 |
1 |
62 |
4 |
1 |
0 |
68 |
|
PHP Error Detected |
Medio |
0 |
0 |
61 |
|
0 |
0 |
61 |
|
Possible |
Medio |
0 |
0 |
0 |
31 |
0 |
0 |
31 |
|
Possible |
Medio |
0 |
0 |
3 |
0 |
0 |
0 |
3 |
|
URL Injection=
|
Medio |
0 |
6 |
0 |
0 |
0 |
3 |
9 |
|
ASP/ASPX Error Detected |
Bajo |
0 |
0 |
0 |
1 |
0 |
0 |
1 |
|
Directory<=
span
lang=3DES-SV style=3D'font-size:9.0pt;line-height:115%;color:black;mso-an=
si-language:
ES-SV'> Listing Detected=
|
Bajo |
89 |
0 |
66 |
680 |
2 |
3 |
840 |
|
From Password Field with Autocomplete Enabled |
Bajo |
0 |
1 |
0 |
0 |
0 |
1 |
2 |
|
Total |
|
101 |
12 |
209 |
835 |
4 |
17 |
1178 |
Modelo
de gestión para reducción de riesgos de seguridad
informática en servicios web. El análisis ejecutado a la organización=
educativa
donde se realizó el estudio presenta vulnerabilidades que podr&iacut=
e;an
poner en riesgo sus servicios web, por lo que en la Tabla 5., se presenta la
propuesta para brindar posibles soluciones en las diferentes vulnerabilidad=
es
encontradas que en coordinación con los objetivos, estrategias y
políticas de TICs, las actividades de
gestión de riesgos, permiten elaborar un plan de seguridad que
implantado y operado satisfaga los objetivos propuestos con un nivel de rie=
sgo
inferior al del análisis preliminar.
Tabla 5. Propuesta de solución
|
Vulnerabilidad |
Popuesta de Solució=
n |
|
U=
RL Injection |
1.=
El
desarrollador debe examinar la etiqueta y determinar las posibles
implicaciones de seguridad de la utilización de un URI suministrad=
o de
forma remota. |
|
Directory Listing Detected |
<=
span
lang=3DES style=3D'font-size:9.0pt;line-height:115%;color:black'>1.=
Para=
Apache,
realizar una de las siguientes opciones: añadir "IndexIgnore " para archivo .htaccess
del directorio, o bien eliminar "Índices" de la lí=
;nea
"Opciones Todos los índices FollowSymLin=
ks
MultiView" en su archivo de configuraci&=
oacute;n
de Apache. |
|
Cleartext Password over HTTP |
1.=
Las contraseñas NO deben ser enviadas a través de texto plano. 2.=
Elaborar contraseñas fuertes y cifrarlas.=
3.=
Una contraseña fuerte debe contener
mínimo 8 caracteres: 2 caracteres especiales, 2 números, 2
letras mayúsculas y 2 minúsculas. |
|
SQ=
L Injection |
<=
span
lang=3DES-SV style=3D'font-size:10.0pt;line-height:115%;color:black;mso-a=
nsi-language:
ES-SV'>1.
La mejor defensa contra las vulnerabilidades de =
SQL Injection es utilizar instrucciones con
parámetros. <=
span
lang=3DES-SV style=3D'font-size:10.0pt;line-height:115%;color:black;mso-a=
nsi-language:
ES-SV'>2.
Las variables de tipos de cadenas deben ser
filtrados, y tipos numéricos deben ser evaluados para verificar que
son válidos. <=
span
lang=3DES-SV style=3D'font-size:10.0pt;line-height:115%;color:black;mso-a=
nsi-language:
ES-SV'>3.
El uso de procedimientos almacenados puede
simplificar consultas complejas y permitir la configuración de con=
trol
de acceso más estricto. <=
span
lang=3DES-SV style=3D'font-size:10.0pt;line-height:115%;color:black;mso-a=
nsi-language:
ES-SV'>4.
Configuración de los controles de acceso =
de
base de datos puede limitar el impacto de las vulnerabilidades explotadas=
. |
|
L=
ocal Filesystem Paths Found |
1.
Cuando se obtenga una salida de error que contie=
ne
información confidencial, como rutas de sistema absolutos no
debería ser enviada a los clientes remotos en servidores de
producción. 2.
Esta salida debe ser enviada a otra
log de salida, como un registro de errores. |
|
Fr= om Password Field with Autocomplete Enable<= o:p> |
|
|
P=
age Fingerprint Differential Detected |
1.=
Para=
evitar
este tipo de vulnerabilidad, el desarrollador debe predeterminar el camin=
o de
cualquier recurso del sistema de archivos que tiene una trayectoria compu=
esta
de entrada suministrada externamente y luego realizar una comprobaci&oacu=
te;n
de autorización previa para el acceso. 2.=
Cuan=
do se
desarrolle en PHP, Perl y Python se debe utilizar la función realpath (), cuando se utilice aplicaciones ASP.NET=
se
debe utilizar la función GetFullPath (=
),
cuando se utiliza en código Java se utilizar la función 3.=
Prot=
ección
adicional contra el acceso no autorizado al sistema de ficheros de recurs=
os
se puede obtener mediante el uso de chroot ()=
o
mecanismos similares para limitar el acceso del sistema de archivos para =
el
proceso de servidor de aplicaciones web y http, aunque esto puede ser
difícil de manejar. |
|
Sh=
ell Injection |
|
|
H=
TTP
Trace Support Detected |
1.=
Para=
los
servidores basados en Apache, la función Trac=
eEnable
() se puede utilizar para desactivar el soporte para HTTP TRACE. 2.=
Para=
los
servidores basados en IIS, la función EnableT=
raceMethod
() se puede utilizar para desactivar el soporte para HTTP TRACE. |
|
Possible XML Injection |
|
|
C=
ross Site Scripting |
1.=
No c=
onfiar
nunca en datos que se obtenga de los usuarios o de cualquier fuente de da=
tos
externa. 2.=
Filt=
rar
datos poco confiables que son generados por el cliente. 2.=
Esta=
regla
es la única que tenemos que seguir para prevenir los ataques XSS. =
Para
evitar ataques XSS, se debe llevar a cabo la validación de datos, =
el
saneamiento y escapar lo que se va a mostrar |
=
=
Aplicació=
n del
modelo. Al aplicar el modelo es necesario determina=
r el
efecto sobre las vulnerabilidades, por lo que se detalla a continuaci&oacut=
e;n
las vulnerabilidades de los servicios web activos. En la Tabla 6., se observa las
vulnerabilidades encontradas en el servicio web después de aplicar la
propuesta de solución para la reducción de riesgos de segurid=
ad
informática. A pesar d=
e la
sugerencia de aplicar en su totalidad la propuesta de solución, se p=
uede
observar que disminuyeron casi toda la vulnerabilidad alta excepto Cleartext Password over HTTP debido a una decisión propia del
administrador, pero en las de bajo impacto hubo una disminución cons=
iderable.
Tabla 6.&n=
bsp;
Total de vulnerabilidades
|
Nombre |
Grado |
Posgrados |
Ingreso de Calificaciones=
|
Eva-Docente |
Campus Virtual |
Bienestar |
Recursos |
Total |
|
No. |
No. |
No. |
No. |
No. |
No. |
No. |
||
|
Clear Password over HTTP |
Alto |
1 |
0 |
0 |
0 |
0 |
1 |
2 |
|
Cross Site Scripting=
|
Alto |
0 |
1 |
0 |
0 |
0 |
0 |
1 |
|
Page Fingerprint |
Alto |
1 |
0 |
0 |
0 |
0 |
2 |
3 |
|
Shell Injection |
Alto |
0 |
0 |
2 |
22 |
0 |
0 |
24 |
|
SQL Injection=
|
Alto |
1 |
2 |
2 |
13 |
0 |
0 |
18 |
|
HTTP Trace Support <=
span
class=3DSpellE>Detected |
Medio |
0 |
0 |
0 |
0 |
0 |
0 |
0 |
|
Local Filesystem |
Medio |
0 |
1 |
12 |
4 |
0 |
0 |
17 |
|
PHP Error Detected |
Medio |
0 |
0 |
9 |
0 |
0 |
0 |
9 |
|
Possible |
Medio |
0 |
0 |
0 |
3 |
0 |
0 |
3 |
|
Possible |
Medio |
0 |
0 |
0 |
0 |
0 |
0 |
0 |
|
URL Injection=
|
Medio |
0 |
1 |
0 |
0 |
0 |
0 |
1 |
|
ASP/ASPX Error Detected |
Bajo |
0 |
0 |
0 |
0 |
0 |
0 |
0 |
|
Directory<=
span
lang=3DES-SV style=3D'font-size:9.0pt;line-height:115%;color:black;mso-an=
si-language:
ES-SV'> Listing Detected=
|
Bajo |
8 |
0 |
2 |
52 |
0 |
3 |
65 |
|
From Password Field with Autocomplete Enabled |
Bajo |
0 |
0 |
0 |
0 |
0 |
0 |
0 |
|
Total |
|
11 |
5 |
27 |
94 |
0 |
6 |
143 |
En la Tabla 7., se observa las vulnerabilidades encon=
tradas
en los servicio web, antes y después de aplicar la
propuesta de solución para la reducción de riesgos de segurid=
ad
informática. Por lo qu=
e se
visualiza que el administrador consideró de relevancia mitigar la vu=
lnerabilidad
de.=
=
Tabla 7. Total de
vulnerabilidades
=
|
Total, de vulnerabilidades |
Total |
% |
|
Antes=
|
1178 |
100% |
|
Despu&=
eacute;s |
143 |
12.13% |
|
Eliminadas |
1035 |
87.87% |
=
Identificaci&oac=
ute;n de
Impactos. Com=
o resultado
del análisis en la Tabla 8., indica las dimensiones con sus criterio=
s de
valoración del impacto del análisis, para conocer el da&ntild=
e;o
producido sobre los activos del dominio como consecuencia de la
materialización de las amenazas.
Tabla 8.&n=
bsp;
Identificación de Impactos
|
Dimensión |
Valoración |
|
Disponibilidad |
Alto |
|
Integridad |
Alto |
|
Autenticidad |
Alto |
|
Confidencialidad |
Medio |
Identificaci&oac=
ute;n
del Riego. La Tabla 9., muestra la escala de dañ=
;o para
identificar los riesgos como resultado del análisis de los activos,
amenazas, salvaguardas existentes y la identificación de
vulnerabilidades e impactos, como se puede observar el mayor riesgo se
presentaría en la disponibilidad de los activos.
Tabla 9: Identificación de Riesgos
=
|
Activos |
Dimensiones |
|||
|
Disponibilidad |
Integridad |
Confidencialidad |
Autenticidad |
|
|
UPS |
3 |
0 |
0 |
0 |
|
Planta de energía |
4 |
0 |
0 |
0 |
|
Procesador 1 (Servidor 1) |
5 |
4 |
2 |
4 |
|
Procesador 2 (Servidor 2) |
5 |
4 |
2 |
4 |
|
Procesador 3 (Servidor 3) |
4 |
4 |
2 |
4 |
|
Procesador 4 (Servidor 4) |
4 |
3 |
2 |
4 |
|
Memoria 1 (Servidor 1) |
5 |
4 |
3 |
4 |
|
Memoria 2 (Servidor 2) |
5 |
4 |
3 |
4 |
|
Memoria 3 (Servidor 3) |
5 |
4 |
3 |
4 |
|
Memoria 4 (Servidor 4) |
5 |
4 |
3 |
4 |
|
Storage |
5 |
5 |
2 |
5 |
|
Personal |
3 |
1 |
3 |
0 |
Conclusiones.
=
· =
Del análisis realizado se identific&oacu=
te; 14
tipos de vulnerabilidades en los servicios web, los tres más frecuen=
tes
son: SQL Injection, PHP Error Detected
y Directory Listing=
Detected, por lo que al plantear propuestas de mejora=
para
un servicio web se debe replicar la solución en los demás par=
a reducirlas
o eliminarlas, enfocándose principalmente desde las vulnerabilidades=
de
nivel alto (High) que implican un mayor riesgo e impacto para su
funcionamiento.
=
· =
Con la aplicación de MAGERIT para
reducción de riesgos en servicios Web se redujo en un 87,87% las
vulnerabilidades encontradas en el análisis.
=
· =
A pesar de que existen un sin número de
Metodologías se escogieron MAGERIT, debido a que es la más ut=
ilizada
a nivel de Latinoamérica y permite tener una referencia de trabajo
estándar que facilita la gestión de riesgos de una
organización, que en lo posterior ayudara a reducir el impacto de las
vulnerabilidades existentes en los servicios web.
=
· =
La herramienta VEGA permitió realizar un
escaneo de vulnerabilidades de páginas web permitiendo determinar las
debilidades y proponer alternativas de solución, debido a que es
multiplataforma, gratuita, de código abierto y sobre todo puede ser
adaptable a las necesidades del usuario u organización.
Referencias
Bibliográficas
Aguilera, P.; Informá=
tica y
comunicaciones. Madrid: Editex S.A, (2010).=
=
<=
span
lang=3DES-EC style=3D'font-family:"Times New Roman",serif;font-style:norma=
l'>Castillo,
J., Cisneros, S., Mendez, P., & Jác=
ome,
D. (2018). Modelo para la reducción de riesgos de seguridad
informática en servicios web. Cumbres.
=
Desogles,
J. X; Ayudantes técnicos de Informática. Madrid: Editorial <=
span
class=3DSpellE>Mad S.L, (2010).
<=
span
class=3DSpellE>Erb, M.; Gestión de Riesgo en la Seguridad Informática.
Obtenido de https://protejete.wordpress.com/gdr_principal/amenazas_vulnerab=
ilidades/,
(2014).
<=
span
lang=3DES-EC style=3D'font-style:normal;mso-bidi-font-style:italic'>Eterovi=
c, E., y
G. Pagliari; Metodología de Análi=
sis de
Riesgos Informáticos. Technical note, 10,
(2010).
<=
span
lang=3DES-EC style=3D'font-style:normal;mso-bidi-font-style:italic'>Freitas=
, V. D.;
Análisis y evaluación del riesgo de la información: ca=
so
de estudio Universidad Simón Bolívar. Información T=
ecnológica,
Scielo, 6, 13-22 (2009).
<=
span
lang=3DEN-US style=3D'mso-ansi-language:EN-US;font-style:normal;mso-bidi-fo=
nt-style:
italic'>Khari, M., y N. Singh; Web Services Vulnerability Testing Using Open
Source. International Journal of Advanced Engineering and Global Technology, 790-799 (2014).
<=
span
lang=3DEN-GB style=3D'mso-ansi-language:EN-GB;font-style:normal;mso-bidi-fo=
nt-style:
italic'>Kwan, T., y H. Leung;=
A Risk
Management Methodology for Project Risk Dependencies. IEEE Transactions on
Software Engineering, 635-648 IEEE. (2010).
<=
span
lang=3DEN-US style=3D'mso-ansi-language:EN-US;font-style:normal;mso-bidi-fo=
nt-style:
italic'>Kyushu, F., Y. Hori y K. Sakurai; Comparison
of Risk Analysis Methods: Mehari, Magerit, NIST=
800-30
and Microsoft's Security Management Guide. Availab=
ility, Reliability and Security, 2009. ARES '09, 726-731 IEEE
(2009).
<=
span
lang=3DES-EC style=3D'font-style:normal;mso-bidi-font-style:italic'>Monteve=
rde, W.
A., y R. Campiolo; Estudo<=
/span> e
Analise de Vulnerabilidades Web. Obtenido de
http://es.slideshare.net/wamverde/estudo-e-anlise-de-vulnerabilidades-web, =
(2014).
<=
span
lang=3DES-EC style=3D'font-style:normal;mso-bidi-font-style:italic'>Reyes, =
J.; MAGERIT.
Obtenido de https://seguridadinformaticaufps.wikispaces.com/MAGERIT, (2015)=
.
<=
span
class=3DSpellE>Shirey,
R.; Internet Security Glossary. RFC 2828 (Informational). Obsoleted by RFC =
4949,
(2015).
<=
span
lang=3DEN-US style=3D'mso-ansi-language:EN-US;font-style:normal;mso-bidi-fo=
nt-style:
italic'>Vicente, E. y A. Jimenez; Risk analysis in
information systems: A fuzzification of the MAGERIT methodology. Elsevier, =
1-12 (2014)=
.
<=
span
class=3DSpellE>Voutssas,
J.; Documentary, digital and security information. Sci=
ELO,
24, 7 (2010).
Para
citar el artículo indexado
El artículo que se publica es de
exclusiva responsabilidad de los autores y no necesariamente reflejan el
pensamiento de la Revista Alpha
Publicaciones.
El artículo queda en
propiedad de la revista y, por
tanto, su publicación parcial y/o total en otro medio tiene que ser autorizado por el director
de la Revista Alpha Publicaciones.