Lo que ha cambiado, de 2007 a 2010 para aplicaciones de internet

¿Que ha cambiado del 2007 al 2010?

El escenario de amenazas para aplicaciones de Internet cambia constantemente. Los factores clave en esta evolución son los avances hechos por los atacantes, la liberación de nueva tecnología, así como la instalación de sistemas cada vez más complejos. Para mantener el ritmo, actualizamos periódicamente el OWASP Top 10. En esta versión 2010, hemos hecho tres cambios significativos:

Aclaramos que el Top 10 es acerca del Top 10 de riesgos, no el Top 10 de las debilidades más comunes. Vea los detalles en la página “Riesgos de seguridad en aplicaciones” más abajo.

Cambiamos nuestra metodología de clasificación para estimar el riesgo, en lugar de basarnos solamente en la frecuencia de la debilidad asociada. Esto ha afectado el orden del Top 10, como puede ver en la tabla más abajo.

Reemplazamos dos elementos de la lista con dos nuevos elementos:

• AGREGADO: A6 – Defectuosa configuración de seguridad. Este problema fue A10 en el Top 10 del 2004: Administración insegura de configuración, pero fue abandonado en el 2007 porque no fue considerado un problema de software. Sin embargo, desde una perspectiva de riesgo organizacional y prevalencia, claramente merece una re-inclusión en el Top 10; así que ahora está de vuelta.

• AGREGADO: A10 – Redirecciones y reenvíos no validados. Este problema está haciendo su debut en el Top 10. La evidencia muestra que este problema relativamente desconocido está difundido y puede causar daño significativo.

• REMOVIDO: A3 – Ejecución maliciosa de ficheros. Este es aún un problema significativo en muchos ambientes diferentes. Sin embargo, su prevalencia en el 2007 fue inflada por el gran número de aplicaciones PHP que tenían este problema. PHP ahora contiene una configuración más segura por omisión, lo que ha disminuido la prevalencia de este problema.

• REMOVIDO: A6 – Filtrado de información y manejo inapropiado de errores. Este problema es extremadamente prevalente, pero el impacto de mostrar la pila de llamadas y la información de mensajes de error típicamente es mínimo. Con la adición de la Mala configuración de seguridad este año, la configuración apropiada del manejo de errores constituye una buena parte de configurar de manera segura sus aplicaciones y servidores.

...