Infosec 101: Superficie de ataque

el

En su nivel más básico la superficie de ataque puede ser definida de la siguiente forma:

Es la sumatoria total de los puntos de entrada o de salida que pueden ser utilizados por un usuario no autorizado para intentar introducir, modificar o extraer información de nuestros sistemas informáticos.

El Dr. Pratyusa Manadhata en su trabajo de tesis elaborado en 2008 llamado “An Attack Surface Metric”, dá una definición más completa.

Si hablamos de redes, la superficie de ataque estaría dada por la cantidad de equipos conectados a la Internet o expuestos públicamente y por cada equipo, la cantidad de servicios expuestos, y para cada servicio, cada método publicado.

De manera análoga la superficie de ataque en las aplicaciones viene dado por la sumatoria total de:

  1. Las rutas de datos y/o comandos de entrada o de salida.
  2. El código que protege dichas rutas, incluyendo pero no limitándose a los recursos de autenticación, autorización o conexión.
  3. Todas la información sensible o valiosa usada en la aplicación, como por ejemplo: llaves de cifrado, propiedad intelectual, datos de negocio, entre otros.
  4. El código que protege a dichos datos, como por ejemplo: métodos de encriptación, auditoria de accesos, y otros controles de seguridad.

Si esto se multiplica por la cantidad de roles y responsabilidades en la aplicación, tenemos un número importante.

Tratando de resumir los tipos de elementos que se deben considerar al momento de definir la superficie de ataque serían:

  1. Puntos de entrada para la autenticación y/o el ingreso a la aplicación.
  2. Interfaces administrativas.
  3. Funciones de búsqueda y consulta.
  4. Formularios para entrada de datos.
  5. Interfaces de programas tradicionales (APIs).
  6. Interfaces de monitoreo o de comandos.
  7. Interfaces con otras aplicaciones (FTP, servicios SOAP, etc.)

 

Anuncios

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s