En términos generales, una página web es un documento electrónico invariable, esto quiere decir que puede contener algunas funcionalidades como: texto, imágenes, sonido, vídeos, enlaces, etcétera, o bien, alguna interacción como el llenado de un formulario, pero, en esencia, sus recursos son limitados. En cambio, una aplicación web siempre es dinámica, esto significa que el usuario podrá realizar dentro de ella múltiples tareas.
¿Qué es una aplicación web?
Una aplicación web se ejecuta en un servidor web y los usuarios acceden a ella mediante un navegador web. Se puede decir que es un sitio web dinámico y complejo. Las aplicaciones web pueden ser diseñadas para una gran variedad de usos y pueden ser utilizadas por cualquier persona: desde una organización hasta un individuo. Entre las aplicaciones web más utilizadas se encuentran el correo web, las calculadoras en línea o las tiendas de comercio electrónico. Además, ofrecen muchas ventajas en el uso, en la interacción con otros sistemas, en la escalabilidad, en la administración y en el mantenimiento. Un dato importante es que suelen alcanzar mucho procesamiento en el lado del navegador, no en el servidor. Hace algún tiempo solían llamarse widgets.
¿Qué es un ataque de aplicación web?
Un ataque a una aplicación sucede cuando los ciberdelincuentes acceden a zonas no autorizadas. Lo más habitual es que los atacantes empiezan a echar un vistazo a la capa de la aplicación, a la caza de vulnerabilidades de la aplicación escritas dentro del código. Aunque los ataques se dirigen a ciertos lenguajes de programación más que a otros, una amplia gama de aplicaciones que representan varios lenguajes reciben ataques: .NET, Ruby, Java, Node.js, Python y muchos más. Las vulnerabilidades se encuentran, tanto en el código personalizado como en los marcos y en las bibliotecas de código abierto.
¿Cuáles son los ataques de aplicaciones más comunes?
Aunque las tácticas de los ciberdelincuentes han evolucionado constantemente, sus estrategias de ataque subyacentes permanecen relativamente estables. A continuación se detallan algunas de las más comunes:
- Cross-site scripting (XSS): Consiste en que un atacante cargue un fragmento de código de script malicioso en su sitio web que luego puede ser utilizado para robar datos o realizar otro tipo de transgresiones. Aunque esta estrategia es relativamente poco sofisticada, sigue siendo bastante común y puede causar un daño significativo.
- Inyección SQL (SQLI): Esto ocurre cuando un hacker envía código destructivo en un formulario de entrada. Si sus sistemas no limpian esta información puede ser enviada a la base de datos con la consecuencia de cambiar, borrar o revelar datos al atacante.
- Path traversal: Es el resultado de una protección inadecuada de los datos introducidos. Estos ataques al servidor web implican la inyección de patrones en la jerarquía del servidor web que permiten a los malos actores obtener credenciales de usuario, bases de datos, archivos de configuración y alguna que otra información almacenada en los discos duros.
- Inclusión de archivos locales: Esta técnica de ataque relativamente infrecuente consiste en obligar a la aplicación web a ejecutar un archivo situado en otra parte del sistema.
- Ataques de denegación de servicio distribuido (DDoS): Estos eventos destructivos se producen cuando un atacante bombardea el servidor con peticiones. En muchos casos, los hackers utilizan una red de ordenadores comprometidos o bots para montar esta ofensiva. Estas acciones paralizan su servidor e impiden que los visitantes legítimos accedan a sus servicios.
Aunque los ciberdelincuentes no suelen comprometer los datos a través de estos medios, a menudo los utilizan para «distraer» a sus sistemas automatizados, dejándolo vulnerable a otros programas maliciosos y actividades delictivas.
¿Cómo son atacadas las aplicaciones?
Las aplicaciones web pueden ser atacadas porque sus creadores cometen errores que permiten a personas no autorizadas acceder a datos sensibles o conseguir derechos de acceso administrativo a la propia aplicación web, o incluso, al servidor. Los ataques suelen aprovecharse del hecho de que las aplicaciones web aceptan la entrada de los usuarios y esta entrada puede no ser examinada en busca de contenido malicioso.
¿Cómo protegerse contra los ataques a las aplicaciones?
Hay dos maneras de protegerse contra los ataques a las aplicaciones web. La mejor manera es encontrar y eliminar todas las vulnerabilidades. Puede hacerlo manualmente, lo que requiere la contratación de especialistas. El segundo método de protección son los Web Aplication Firewall (WAF).
En Access Quality, contamos con la Solución Advanced Web Aplication Firewall (WAF) de F5 para proteger aplicaciones con análisis de comportamiento, defensa proactiva contra robots y cifrado de datos confidenciales.Escríbanos a: ventas@accessq.com.mx y un especialista le brindará mayor información.