Configuración incorrecta de seguridad y servicios expuestos

La configuración incorrecta de seguridad es una de las vulnerabilidades web más frecuentes (OWASP Top 10 n.º 5). Se produce cuando las configuraciones de seguridad se dejan con valores predeterminados inseguros, incompletas o configuradas incorrectamente en cualquier capa de la pila.

Muchos dispositivos y programas se distribuyen con credenciales predeterminadas (admin/admin, admin/password). Los atacantes buscan sistemáticamente estos accesos. Cambie siempre las credenciales predeterminadas inmediatamente después de la implementación. Herramientas como Shodan indexan dispositivos con inicios de sesión predeterminados expuestos a Internet.

Cada puerto abierto es una superficie de ataque. Principio de exposición mínima: desactive todos los servicios que no sean necesarios, cierre los puertos que no utilice y ejecute solo lo imprescindible. Audite con:

Los servidores web que exponen listados de directorios revelan la estructura de archivos, archivos de copia de seguridad, archivos de configuración y código fuente. Desactive esta función en nginx/Apache:

Los mensajes de error detallados en producción exponen trazas de pila, esquemas de bases de datos, rutas de archivos y versiones de software. Los atacantes utilizan esta información para el reconocimiento. Registre los errores en el servidor y muestre mensajes genéricos a los usuarios.

Los paneles de administración (phpMyAdmin, Jenkins, Kubernetes dashboard, Grafana) nunca deben exponerse a Internet sin autenticación ni restricciones de IP. Los atacantes buscan específicamente /admin, /phpmyadmin, :8080/manage, etc.

Los buckets S3 públicos y los contenedores de almacenamiento en la nube han dejado expuestas enormes cantidades de datos confidenciales. Asegúrese siempre de:

• Establecer los buckets como privados de forma predeterminada
• Habilitar políticas de bucket que bloqueen el acceso público
• Utilizar Cloud Security Posture Management (CSPM) para realizar auditorías continuas

La ausencia de encabezados de seguridad deja expuestas las aplicaciones. Compruebe la presencia de:

• Strict-Transport-Security (HSTS)
• Content-Security-Policy
• X-Content-Type-Options: nosniff
• X-Frame-Options: DENY

Herramienta: securityheaders.com

Ejecutar bibliotecas, frameworks o versiones del sistema operativo obsoletos con CVE conocidos es una configuración incorrecta. Los atacantes utilizan escáneres de vulnerabilidades para identificar las versiones exactas y compararlas con exploits públicos. La gestión de parches y el análisis de dependencias son esenciales.

Establecer Access-Control-Allow-Origin: * en API confidenciales permite que cualquier sitio web realice solicitudes autenticadas entre orígenes. Refleje el encabezado Origin solo para orígenes explícitamente confiables. Nunca utilice comodines en endpoints autenticados.

Las claves API, contraseñas y claves privadas incluidas en repositorios de código fuente son una configuración incorrecta crítica. Suelen encontrarse mediante búsquedas en GitHub. Utilice variables de entorno, gestores de secretos (Vault, AWS Secrets Manager) y hooks de precommit para evitar confirmaciones accidentales.

Un desarrollador deja un bucket S3 configurado como público. ¿Qué categoría de vulnerabilidad representa esto?

La configuración incorrecta de seguridad incluye credenciales predeterminadas, puertos abiertos, interfaces de administración expuestas, listados de directorios, errores detallados, almacenamiento público en la nube, encabezados de seguridad ausentes, software obsoleto y secretos en el código. Defensa: guías de refuerzo, análisis automatizado de la configuración (CSPM, Lynis) y listas de comprobación previas a la implementación.