Auditoría de seguridad web

Las auditorías de seguridad web consisten en la identificación de vulnerabilidades sobre activos web tales como páginas web de distinto tamaño, desde web más estáticas a plataformas corporativas, intranet, e-commerce, APIs, y cualquier componente de la web, incluyendo en los casos en los que se decida incluir en el alcance, la evaluación de los sistemas que sustentan las aplicaciones, middleware y backend.

Las auditorías se apoyan en metodologías de análisis de seguridad internacionalmente utilizadas como OWASP, para la evaluación de controles de seguridad, o la utilización de baterías de pruebas que permitan evaluar si un activo web cumple con las medidas de seguridad requeridas o requiere de una revisión por parte de los equipos técnicos, para mitigar posibles debilidades que puedan afectar a la seguridad.

Como técnicas complementarias se realizan escaneos de seguridad de una aplicación web para identificar todos los recursos públicos y privados accesibles remotamente y analizar su comportamiento frente a entradas de datos anómalas.

Todas las pruebas de seguridad se pueden realizar tanto de forma anónima, simulando ser un usuario externo a la organización sin acceso, como de forma autenticada, contando con uno o varios usuarios válidos en la aplicación web.

El resultado de una auditoría de seguridad de aplicaciones web es el listado de vulnerabilidades técnicas que suponen una amenaza para la aplicación, la muestra de los controles de seguridad utilizados y la superación o no, así como un conjunto detallado de recomendaciones que se recomienda sean aplicadas a nivel de código fuente, arquitectura, configuración o la propia infraestructura.

Para saber cuánto cuesta una auditoría de seguridad web se debe valorar la complejidad de esta, que depende fundamentalmente de 4 variables:

• Número de recursos expuestos por la aplicación.
• La complejidad y tamaño, si se trata de una web transaccional que requiere usuarios con distintos roles y privilegios.
• El enfoque de la revisión de seguridad: Caja negra (sin información de la aplicación ni de usuarios para simular un ataque externo), caja blanca (con más información y pruebas autenticadas con usuario y contraseña) o mixta.
• La necesidad de utilizar una metodología de análisis específica (por la casuística particular de la aplicación), o la definición previa de controles de seguridad a revisar. Esto puede suceder más a menudo en interfaces web de dispositivos IoT o de comunicaciones.

Para valorar el esfuerzo lo ideal es poder acceder a la aplicación web para que nuestros expertos en seguridad web puedan dimensionar el trabajo necesario para analizar completamente la aplicación.

Si esto no fuese posible, y a modo orientativo, dependiendo de la complejidad y profundidad del trabajo, este podrá oscilar entre los 3.000 y los 30.000€. En estos trabajos influye también si se decide realizar un único trabajo de revisión, la verificación de correcciones o si se desea contratar un servicio recurrente con un alcance amplio.

Podemos asesorarte para escoger el mejor enfoque para el trabajo y que el aplicativo quede protegido.

El objetivo principal es mejorar la seguridad en aplicaciones web, lograr identificar los problemas de configuración, autenticación, autorización, fallos en el desarrollo o en la lógica de aplicación que pueden permitir, por ejemplo, el acceso no autorizado a la información y la realización de acciones no permitidas al usuario, como suplantar la identidad de otro usuario o tomar el control del servidor web o volcar información de la base de datos utilizada.