OWASP ASVS: estándar de verificación de seguridad de aplicaciones

El Application Security Verification Standard (ASVS) es un marco de requisitos de seguridad para aplicaciones web. Proporciona tres niveles de verificación (L1, L2 y L3) y más de 200 controles de seguridad detallados, organizados en capítulos que abarcan todos los aspectos de la seguridad de las aplicaciones.

L1 se aplica a todas las aplicaciones y contempla controles básicos de seguridad. L2 está destinado a aplicaciones que gestionan datos confidenciales e incluye la mayoría de los requisitos. L3 es para aplicaciones que requieren un alto nivel de garantía (financieras o sanitarias) y la verificación más rigurosa. La mayoría de los equipos se orienta a L2.

ASVS V1 exige una arquitectura de seguridad documentada, un modelo de amenazas, límites de confianza documentados y la separación de componentes según su nivel de sensibilidad. Las revisiones de arquitectura detectan fallos sistémicos antes de que se conviertan en problemas generalizados de implementación.

V2 abarca los requisitos de las contraseñas (longitud mínima, comprobación de contraseñas expuestas y hashing seguro), la gestión de sesiones, los requisitos de autenticación multifactor, la seguridad de la recuperación de credenciales y la protección contra ataques de fuerza bruta.

Las sesiones deben utilizar tokens criptográficamente aleatorios y de longitud suficiente, invalidarse al cerrar sesión y al agotarse el tiempo de espera, y estar protegidas contra la fijación de sesión. Además, las cookies deben utilizar los atributos Secure, HttpOnly y SameSite=Strict cuando corresponda.

Cada acceso a un recurso debe autorizarse en el servidor. ASVS V4 exige denegar el acceso de forma predeterminada, prevenir el recorrido de directorios y la escalada de privilegios vertical y horizontal, y registrar las decisiones de control de acceso.

V5 abarca la prevención de todo tipo de inyección: consultas parametrizadas para SQL, prevención de inyección de comandos, análisis seguro de XML (prevención de XXE), inyección de cabeceras HTTP y codificación de salida específica para cada contexto con el fin de prevenir XSS.

Las aplicaciones no deben mostrar a los usuarios trazas de pila ni rutas internas. Los eventos de seguridad (fallos de autenticación, infracciones del control de acceso y fallos de validación de entradas) deben registrarse con suficiente detalle para investigar incidentes, pero sin registrar datos confidenciales.

Los datos confidenciales deben identificarse y clasificarse. Los secretos y la PII deben cifrarse tanto en reposo como en tránsito. Las cachés y los archivos temporales no deben almacenar datos confidenciales. Los datos deben eliminarse cuando ya no sean necesarios, de acuerdo con las políticas de conservación.

Utilice ASVS como lista de comprobación de requisitos durante el desarrollo, como plan de pruebas durante las pruebas de seguridad y como marco de auditoría durante las revisiones de cumplimiento. Asigne los controles de ASVS a los equipos, haga un seguimiento de su cumplimiento en la herramienta de gestión de proyectos y documente las evidencias de cumplimiento.

ASVS se corresponde con NIST 800-53, ISO 27001 y PCI-DSS. Utilizar ASVS como línea base de seguridad de las aplicaciones simplifica el cumplimiento, ya que sus controles satisfacen simultáneamente requisitos de varios marcos y reducen el esfuerzo de evaluación duplicado.

¿Qué nivel de OWASP ASVS es adecuado para la mayoría de las aplicaciones que gestionan datos confidenciales de los usuarios?

OWASP ASVS proporciona un marco completo y estructurado de requisitos de seguridad que abarca la autenticación, la gestión de sesiones, el control de acceso, la prevención de inyecciones, la protección de datos y mucho más. Unifica los requisitos de seguridad, las directrices de implementación y las evidencias de cumplimiento en un único estándar.