Definición y Enforcement de Políticas de Seguridad sobre Aplicaciones (DEPSA)

Abstract

En la actualidad los sistemas de información forman parte de la vida cotidiana de las personas, brindando de forma sencilla la capacidad de manejar una gran cantidad de datos que permiten la realización de tareas que no serían posibles de otra forma. Pese a la gran cantidad de información disponible sobre cómo evitar las vulnerabilidades de seguridad, los tiempos y costos del mercado llevan a los equipos de desarrollo a descuidar los aspectos referentes a la seguridad generando aplicaciones con vulnerabilidades, que permiten a usuarios acceder a información restringida o provocar la no disponibilidad del servicio. Los ataques provocan pérdida de confianza de los usuarios al sistema y económicas para las organizaciones, por lo que interesa encontrar una solución a las vulnerabilidades lo antes posible. La solución recomendada por los especialistas en seguridad es la corrección de la vulnerabilidad, pero existen casos en los que esto no es viable, por ejemplo cuando se trata de aplicaciones legadas. Para estos casos puede utilizarse la técnica de virtual patching, que consiste en agregar una capa externa encargada de filtrar los datos que llegan y parten de la aplicación. Esta capa es capaz de detectar los ataques en tránsito y bloquearlos para impedir que sean exitosos. Se busca investigar y diseñar un framework que asista en la tarea de configuración de herramientas de virtual patching, que requiere de conocimientos específicos en cada herramienta particular, para que un especialista en seguridad junto con un especialista en la realidad de la aplicación definan la política de seguridad sobre el modelo de la aplicación y que las herramientas realicen el enforcement. Este framework deberá aplicar la política de seguridad sin necesidad de modificar la aplicación para contemplar los casos en los que no es posible corregirla. Al definir la política de seguridad sobre el modelo de la aplicación se permite incorporar los requerimientos de seguridad a los procesos de desarrollo existentes y que dicha política de seguridad sea empleada por varias herramientas de virtual patching en simultáneo. En el proyecto se presenta una solución que permite a partir de la política de seguridad definida sobre el modelo de la aplicación, generar configuración para herramientas de virtual patching que realizan el enforcement, mitigando vulnerabilidades detectadas que necesitan una rápida solución.