Auditoría Web

¿En qué consiste en una auditoría web?

Una auditoria web, consiste en unas 5 o 6 fases. Es una prueba de testing de infraestructura web a nivel de servidor, como funciona esa web a través de sus peticiones, analizar su código… RuheIT ofrece un servicio de auditoría web basándose en el estándar OWASP TOP 10. Son 10 tipo de vulnerabilidades web muy comunes a encontrar. Sobretodo la auditoría trata de buscar esos fallos, los cuales un ciberatacante se podria aprovechar de esa vulnerabilidad para explotar un sistema o ganar acceso.

Entre ellas se puede encontrar vulnerabilidades de versiones de servidor web, análisis de código, en el caso de ser gestor de contenidos, buscar versiones vulnerables de sus plugins y/o temas entre ellas. También viene incluido revisión de servidores críticos los cuales pueden ser servidores de bases de datos.

Pero sobretodo se centra en la parte de infraestructura y en la forma de como está hecha esa página.

Fases de una auditoría web

• Fase de enumeración y recolección de información pública: Esta fase trata de poder analizar de forma pasiva la página web y empresa a la cual se va a auditar. También se empieza a realizar escaneos de forma activa, para enumerar puertos abiertos del servidor, recolección de información de usuarios, entre ellos.

• Fase de análisis de vulnerabilidades: Esta fase trata de analizar a nivel pasivo y activo las vulnerabilidades de versiones de servidor web, plugins de la web, archivos de configuración expuestos, ver a nivel externo si se encuentran fallas de seguridad.

• Fase de explotación de servicios: Esta fase va ligada de la anterior, ya que de la información recolectada en la fase anterior, procedemos a la explotación de esos servicios, ya como encontrar vulnerabilidades de ejecución remota de código en el servidor, lectura de ficheros privilegiados, información expuesta confidencial… Las cuales pongan en peligro la integridad, disponibilidad o confidencialidad de la empresa.

• Fase de post-explotación: Esta fase consta, de una vez ganado acceso a la organización o al servidor, tratar de permanecer dentro durante el máximo tiempo posible, ya que implica borrar trazas de rastro, identificar maneras de permanecer en el sistema.

• Fase de reporte final: Esta fase consta, de una vez terminada la auditoría, generar un informe final de todo lo encontrado en las fases anteriores y ofrecerles una reunión con el cliente para poder mitigar las vulnerabilidades encontradas y fallos de seguridad, para que un atacante real no pueda comprometer la seguridad de la empresa.