¿Qué es la seguridad del sitio web?
La seguridad del sitio web se refiere a la protección de los websites personales e institucionales frente a los ataques cibernéticos.
¿Por qué debería importar la seguridad del sitio web?
Los ataques cibernéticos, independientemente de su tamaño, son comunes. Un ataque a tu sitio web podría:
- Causar defacement,
- Causar una condición de denegación de servicio (DoS),
- Habilitar al atacante para obtener información confidencial, o
- Permitir que el atacante tome el control del sitio web afectado.
Los sitios web de organizaciones y personas que son víctimas de defacement o DoS pueden experimentar pérdidas financieras, debido a la erosión de la confianza del usuario o a una disminución de los visitantes del sitio web.
Un ataque cibernético -que causa una brecha de seguridad- coloca la propiedad intelectual de tu empresa y la información personal identificable (PII) de tus usuarios en riesgo de robo.
Los ciberdelincuentes pueden atacar sitios web debido a incentivos financieros tales como el robo y la venta de propiedad intelectual e industrial, pagos de ransomware y minería de criptomonedas. Los ciberdelincuentes también pueden estar motivados para atacar debido a razones ideológicas como, por ejemplo, ganar publicidad y notoriedad para una organización terrorista.
¿Qué amenazas de seguridad están asociadas con los sitios web?
Los posibles ataques cibernéticos contra tu sitio web incluyen los que se informan habitualmente en los medios de comunicación, como el defacement y ataque DoS, que hacen que los servicios de información proporcionados por el sitio no estén disponibles para los usuarios. Un escenario de ataque al sitio web aún más severo puede resultar en un compromiso de los datos del cliente (por ejemplo, PII). Estas amenazas afectan todos los aspectos de seguridad (confidencialidad, integridad y disponibilidad) y pueden dañar gravemente la reputación del sitio web y de su propietario.
Un ataque más sutil es aquel que puede no ser inmediatamente detectado por el propietario o usuario. Ocurre cuando el atacante dirige sus ataques desde un servidor web comprometido hacia la red corporativa del propietario del website, el cual contiene una gran cantidad de información confidencial que estaría en riesgo de exposición, modificación o destrucción.
Una vez que un atacante usa un sitio web comprometido para ingresar a una red corporativa, otros activos pueden estar disponibles para el atacante, incluyendo credenciales de usuario, PII, información administrativa y vulnerabilidades técnicas. Además, al comprometer la plataforma del sitio web, un atacante puede reutilizar su infraestructura como una plataforma desde la cual podría lanzar ataques contra otros sistemas.
¿Cómo puedo mejorar mi protección contra ataques?
Las organizaciones y los individuos pueden proteger sus sitios web aplicando las siguientes prácticas:
- Implementando el principio del menor privilegio. Asegúrate de que todos los usuarios tengan la menor cantidad de privilegios necesarios en el servidor web, incluidos los usuarios finales interactivos y las cuentas de servicio.
- Utilizando la autenticación multifactor. Implementá la autenticación multifactor para los inicios de sesión de los usuarios en las aplicaciones web y para la infraestructura subyacente del sitio web.
- Cambiando los nombres de usuario y contraseñas predeterminados del proveedor. Las credenciales predeterminadas del proveedor no son seguras; por lo general, están disponibles en Internet. Cambiar los nombres de usuario y contraseñas predeterminados evitará un ataque.
- Deshabilitando cuentas innecesarias. Deshabilitá las cuentas que ya no son necesarias, como las de invitados o las de usuarios individuales que ya no están en uso.
- Utilizando listas de verificación de seguridad. Auditá y endurecé las configuraciones basadas en listas de verificación de seguridad específicas para cada aplicación (por ejemplo, Apache, MySQL) en el sistema.
- Utilizando una lista blanca de aplicaciones. Utilizá una lista blanca de aplicaciones y desactivá todos aquellos módulos o características que brinden capacidades innecesarias para las necesidades comerciales.
- Utilizando segmentación y segregación de red. La segmentación y segregación de la red hace más difícil moverse lateralmente dentro de las redes conectadas. Por ejemplo, colocar el servidor web en una zona desmilitarizada (DMZ) correctamente configurada limita el tipo de tráfico de red permitido entre sistemas en la DMZ y en la red corporativa interna.
- Sabiendo dónde están los activos. Deberás saber dónde están tus activos para protegerlos. Por ejemplo, si tenés datos que no necesitan estar en el servidor web, eliminalos para protegerlos del acceso público.
- Protegiendo los activos en el servidor web. Protegé los activos en el servidor web con múltiples capas de defensa: por ejemplo, acceso limitado del usuario, cifrado at rest.
- Practicando una higiene cibernética saludable:
- Sistema de parches en todos los niveles, desde aplicaciones web y aplicaciones de bases de datos de back-end, hasta sistemas operativos e hipervisores.
- Realizando copias de seguridad de rutina y probando escenarios de recuperación ante desastres.
- Configurando el login extendido y enviando los logs a un servidor de registro centralizado.
¿Qué gestiones adicionales podrás realizar para protegerte contra los ataques al website?
- Desinfectá todas las entradas del usuario. La entrada del usuario, posee caracteres especiales y caracteres nulos, tanto en el extremo del cliente como en el del servidor. La desinfección de la entrada del usuario es especialmente crítica cuando se incorpora a scripts o declaraciones estructuradas de lenguaje de consulta.
- Aumentá la disponibilidad de recursos. Configurá el almacenamiento en caché de tu sitio web para optimizar la disponibilidad de recursos. La optimización de la disponibilidad de recursos de tu sitio web aumenta la posibilidad de que eresista cantidades inesperadamente altas de tráfico durante los ataques DoS.
- Implementá protecciones de scripting entre sitios (XSS) y falsificación de solicitudes entre sitios (XSRF). Protegé el sistema de tu sitio web y a los visitantes de tu sitio mediante la implementación de protecciones XSS y XSRF.
- Implementá una Política de seguridad de contenido (CSP). Los propietarios de sitios web también deberían considerar implementar un CSP. Esta implementación disminuye las posibilidades de que un atacante cargue y ejecute con éxito JavaScript malicioso en la máquina del usuario final.
- Auditá código de terceros. Auditá servicios de terceros para validar que no sea entregado ningún código inesperado al usuario final. Los propietarios de sitios web deben sopesar los pros y los contras de verificar el código de terceros y alojarlo en el servidor web, en lugar de cargar el código del tercero.
- Implementá el protocolo seguro de transferencia de hipertexto (HTTPS) y de seguridad estricta de transporte HTTP (HSTS). Los visitantes del sitio web esperan que su privacidad esté garantizada. Para lograr que las comunicaciones entre el sitio web y el usuario estén encriptadas, aplicá siempre el uso de HTTPS y HSTS siempre que sea posible.
- Implementá medidas de seguridad adicionales. Las medidas adicionales incluyen:
- Ejecutar análisis de seguridad estáticos y dinámicos contra el código y el sistema del sitio web,
- Implementar firewalls de aplicaciones web,
- Aprovechar las redes de entrega de contenido para proteger contra el tráfico web malicioso, y
- Proporcionar equilibrio de carga y resistencia frente a grandes cantidades de tráfico.
Y recordá que si tenés dudas o consultas, podés escribirnos a soporte@baehost.com
Hasta la próxima!