Pentesting sobre aplicaciones web basado en la metodología OWASP utilizando SBC de bajo costo

Actualmente los servicios ofrecidos en internet están en aumento y evolución constante, tal aumento afecta la cantidad de datos a manejar, por lo cual se requiere que las empresas involucradas en este ambiente logren probar la seguridad en sus aplicaciones, servidores y activos de información. La manera de probar esto es mediante un pentesting, simulando el comportamiento de un atacante en un ambiente controlado, con el fin de descubrir vulnerabilidades en la organización. El objetivo de este trabajo de investigación es identificar de manera eficiente y eficaz las vulnerabilidades más comunes sobre las aplicaciones web, siguiendo la metodología OWASP. Se implementó un prototipo hardware y software sobre un cluster conformado por 6 dispositivos SBC de bajo costo, ejecutando tareas de manera paralela y distribuida para automatizar tanto el proceso del pentesting como la generación de reportes y determinar la severidad de los riesgos. Se realizó un experimento controlado sobre 5 sitios web, se compararon los resultados del prototipo contra cuatro herramientas especializadas en pruebas de penetración, con el fin de precisar la eficacia de las vulnerabilidades detectadas mediante un análisis de curvas ROC y medir la eficiencia del prototipo analizando los tiempos de ejecución. Como resultado se obtuvo un promedio de 12 vulnerabilidades en común que logró identificar tanto el prototipo como las herramientas seleccionadas en toda la prueba experimental. Para medir la eficiencia, el prototipo hardware y software en tiempo de ejecución se mantuvo en un rango entre los 740 a 2050 segundos aproximadamente para los 5 sitios web, siendo mejor que dos de las cuatro herramientas con las que se comparó. Finalmente, se puede concluir que las pruebas de concepto implementadas, identificaron las vulnerabilidades más comunes sobre todos los sitios web y se puede mejorar los tiempos de ejecución agregando más dispositivos SBC de bajo costo al implementar un cluster con las mismas características y configuración.

• Autores: Muñoz Mayorga, Andrés Felipe; Pérez Solarte, Santiago Alejandro
• Tipo de recurso: Trabajo de grado de pregrado
• Fecha de publicación: 2017
• Institución: Universidad del Cauca
• Repositorio: Repositorio Unicauca
• Idioma: spa
• OAI Identifier: oai:repositorio.unicauca.edu.co:123456789/1773
• Acceso en línea: http://repositorio.unicauca.edu.co:8080/xmlui/handle/123456789/1773
• Palabra clave: Proof of concept; Identify vulnerabilities; OWASP methodology; SBC; Raspberry Pi; Vulnerabilidades; Aplicaciones web; Metodología OWASP
• License: https://creativecommons.org/licenses/by-nc-nd/4.0/