OWASP Top 10 2025

A01:2025 - Control de Acceso Roto
A02:2025 - Error de Configuración de Seguridad
A03:2025 - Fallos en la Cadena de Suministro de Software
A04:2025 - Fallos Criptográficos
A05:2025 - Inyección
A06:2025 - Diseño Inseguro
A07:2025 - Fallos de Autenticación
A08:2025 - Fallos de Integridad de Software o Datos
A09:2025 - Fallos en Registros de Seguridad y Alertas
A10:2025 - Manejo Inadecuado de Condiciones Excepcionales

A01:2025 Control de Acceso Roto: El control de acceso aplica políticas para que los usuarios no puedan actuar fuera de sus permisos asignados. Los fallos suelen conducir a la divulgación no autorizada, modificación o destrucción de todos los datos, o al desempeño de funciones empresariales fuera de los límites del usuario.

A02:2025 Error de Configuración de Seguridad: Un error de configuración de seguridad ocurre cuando un sistema, aplicación o servicio en la nube se configura incorrectamente desde la perspectiva de la seguridad, creando vulnerabilidades.

A03:2025 Fallos en la Cadena de Suministro de Software: Los fallos en la cadena de suministro de software son disfunciones u otras compromisos en el proceso de construcción, distribución o actualización de software. Suelen ser causados por vulnerabilidades o cambios maliciosos en código de terceros, herramientas u otras dependencias en las que el sistema confía.

A04:2025 Fallos Criptográficos: En general, todos los datos en tránsito deben estar cifrados en la capa de transporte (capa 4 OSI). Los obstáculos anteriores, como el rendimiento de la CPU y la gestión de claves privadas/certificados, ahora se manejan mediante CPUs con instrucciones diseñadas para acelerar el cifrado (por ejemplo: soporte AES) y la gestión simplificada de claves privadas y certificados por servicios como LetsEncrypt.org, además de que los principales proveedores de nube ofrecen servicios de gestión de certificados aún más integrados para sus plataformas específicas. Además de asegurar la capa de transporte, es importante determinar qué datos necesitan cifrado en reposo y qué datos necesitan cifrado adicional en tránsito (a la capa de aplicación, capa 7 OSI). Por ejemplo, contraseñas, números de tarjetas de crédito, registros de salud, información personal y secretos empresariales requieren protección adicional, especialmente si esos datos están sujetos a leyes de privacidad, como el Reglamento General de Protección de Datos (GDPR) de la UE, o regulaciones como el Estándar de Seguridad de Datos de PCI (PCI DSS).

A05:2025 Inyección: Una vulnerabilidad de inyección es un defecto del sistema que permite a un atacante insertar código o comandos maliciosos (como código SQL o de shell) en los campos de entrada de un programa, engañando al sistema para que ejecute el código o los comandos como si fueran parte del sistema. Esto puede conducir a consecuencias verdaderamente graves.

A06:2025 Diseño Inseguro: El diseño inseguro es una categoría amplia que representa diferentes debilidades, expresadas como "diseño de controles ausente o ineficaz". El diseño inseguro no es la fuente de todas las demás categorías de riesgos del Top Ten. Tenga en cuenta que existe una diferencia entre diseño inseguro e implementación insegura. Diferenciamos entre defectos de diseño y defectos de implementación por una razón: tienen diferentes causas raíz, ocurren en diferentes momentos del proceso de desarrollo y tienen diferentes remedios. Un diseño seguro aún puede tener defectos de implementación que lleven a vulnerabilidades que pueden ser explotadas. Un diseño inseguro no puede corregirse con una implementación perfecta, ya que los controles de seguridad necesarios nunca fueron creados para defenderse contra ataques específicos. Uno de los factores que contribuye al diseño inseguro es la falta de perfilado de riesgos empresariales inherente al software o sistema en desarrollo, y por lo tanto el fracaso en determinar qué nivel de diseño de seguridad se requiere.

A07:2025 Fallos de Autenticación: Cuando un atacante puede engañar a un sistema para que reconozca a un usuario inválido o incorrecto como legítimo, esta vulnerabilidad está presente.

A08:2025 Fallos de Integridad de Software o Datos: Los fallos de integridad de software y datos se relacionan con el código e infraestructura que no protege contra el tratamiento de código o datos inválidos o no confiables como si fueran confiables y válidos. Un ejemplo de esto es cuando una aplicación depende de complementos, bibliotecas o módulos de fuentes no confiables, repositorios y redes de entrega de contenido (CDN). Un pipeline de CI/CD inseguro que no consuma ni proporcione verificaciones de integridad de software puede introducir el potencial de acceso no autorizado, código inseguro o malicioso, o compromiso del sistema. Otro ejemplo de esto es un pipeline de CI/CD que obtiene código o artefactos de lugares no confiables y/o no los verifica antes de usarlos (verificando la firma u otro mecanismo similar).

A09:2025 Fallos en Registros de Seguridad y Alertas: Sin registro y monitoreo, los ataques y brechas no pueden ser detectados, y sin alertas es muy difícil responder rápida y efectivamente durante un incidente de seguridad. El registro insuficiente, el monitoreo continuo, la detección y las alertas para iniciar respuestas activas ocurren en cualquier momento.

A10:2025 Manejo Inadecuado de Condiciones Excepcionales: El manejo inadecuado de condiciones excepcionales en el software ocurre cuando los programas no logran prevenir, detectar y responder a situaciones inusuales e impredecibles, lo que lleva a cierres forzosos, comportamiento inesperado y, a veces, vulnerabilidades. Esto puede involucrar uno o más de los siguientes 3 fallos: la aplicación no previene que ocurra una situación inusual, no identifica la situación mientras ocurre, y/o responde pobremente o no responde en absoluto a la situación después.

Discutiremos y presentaremos aspectos prácticos de:

Control de Acceso Roto
- Ejemplos prácticos de control de acceso roto
- Controles de acceso seguros y mejores prácticas

Error de Configuración de Seguridad
- Ejemplos del mundo real de errores de configuración
- Pasos para prevenir errores de configuración, incluidas herramientas de gestión de configuración y automatización

Fallos Criptográficos
- Análisis detallado de fallos criptográficos como algoritmos de cifrado débiles o gestión de claves inadecuada
- Importancia de mecanismos criptográficos fuertes, protocolos seguros (SSL/TLS) y ejemplos de criptografía moderna en la seguridad web

Ataques de Inyección
- Desglose detallado de inyección SQL, NoSQL, SO y LDAP
- Técnicas de mitigación utilizando sentencias preparadas, consultas parametrizadas y escapado de entradas

Diseño Inseguro
- Exploraremos defectos de diseño que pueden conducir a vulnerabilidades, como la validación de entradas inadecuada
- Estudiararemos estrategias para una arquitectura segura y principios de diseño seguro

Fallos de Autenticación
- Problemas comunes de autenticación
- Estrategias de autenticación seguras, como la autenticación multifactor y el manejo adecuado de sesiones

Fallos de Integridad de Software y Datos
- Enfoque en problemas como actualizaciones de software no confiables y manipulación de datos
- Mecanismos de actualización seguros y verificaciones de integridad de datos

Fallos en Registros y Monitoreo de Seguridad
- Importancia de registrar información relevante para la seguridad y monitorear actividades sospechosas
- Herramientas y prácticas para un registro adecuado y monitoreo en tiempo real para detectar brechas temprano