OWASP API Security Top 10:2023 para PenTesters

Cómo utilizar la lista

El tema 'Cómo utilizar la lista' es una parte central del trabajo sobre OWASP API Security Top 10 2023. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada? ¿Qué decisión se quiere tomar? ¿Y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de la herramienta sin comprender el objetivo.

En la práctica, anote BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption, Sensitive Business Flows, compare con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por otro analista, incluidas las limitaciones y los siguientes pasos.

Riesgos de autorización

En OWASP API Security Top 10 2023, la identidad y la autorización son dos cuestiones diferentes: quién es el cliente y qué se le permite hacer con el recurso. Se revisan Roles, Claims, Session, propiedad del Objeto y los cambios a lo largo del ciclo de vida, y no se limita a que el usuario esté 'conectado'.

Una matriz de prueba incluye usuario anónimo, usuario normal, propietario del objeto, otro usuario y administrador. Para cada acción, se comparan la respuesta y el impacto en el lado del servidor. El cambio de un identificador o encabezado es solo un medio de prueba; la evidencia es que el servidor aprobó o rechazó una acción en contra de la política.

Autenticación y consumo de recursos

En OWASP API Security Top 10 2023, la identidad y la autorización son dos cuestiones diferentes: quién es el cliente y qué se le permite hacer con el recurso. Se revisan Roles, Claims, Session, propiedad del Objeto y los cambios a lo largo del ciclo de vida, y no se limita a que el usuario esté 'conectado'.

Una matriz de prueba incluye usuario anónimo, usuario normal, propietario del objeto, otro usuario y administrador. Para cada acción, se comparan la respuesta y el impacto en el lado del servidor. El cambio de un identificador o encabezado es solo un medio de prueba; la evidencia es que el servidor aprobó o rechazó una acción en contra de la política.

Flujos de negocio e inventario

El tema 'Flujos de negocio e inventario' es una parte central del trabajo sobre OWASP API Security Top 10 2023. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada? ¿Qué decisión se quiere tomar? ¿Y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de la herramienta sin comprender el objetivo.

En la práctica, anote BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption, Sensitive Business Flows, compare con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por otro analista, incluidas las limitaciones y los siguientes pasos.

Mapeo al plan de pruebas

Una prueba profesional para OWASP API Security Top 10 2023 comienza con condiciones de éxito y condiciones de fracaso. Se define un caso positivo, un caso negativo, un caso límite y una actividad legítima similar. De esta manera, se pueden identificar tanto falsos negativos como falsos positivos.

En un entorno autorizado, se utiliza una acción mínima que demuestre la afirmación sin causar daño. Se guardan Input, Output, tiempo y versión, y después de la corrección se realiza una nueva prueba (Retest) en el mismo escenario y también se comprueba la regresión en funciones cercanas.

Puntos de prueba únicos

En este tema, se recomienda construir de antemano un mapa de evidencia enfocado. Los principales puntos de prueba son: BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption, Sensitive Business Flows, Unsafe Consumption. La lista no es un Checklist automático; cada elemento se elige porque puede vincular una entidad, una acción y un tiempo o explicar un comportamiento legítimo.

• BOLA: Defina el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificaría el hallazgo.
• Broken Authentication: Defina el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificaría el hallazgo.
• Object Property Authorization: Defina el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificaría el hallazgo.
• Unrestricted Resource Consumption: Defina el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificaría el hallazgo.
• Sensitive Business Flows: Defina el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificaría el hallazgo.
• Unsafe Consumption: Defina el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificaría el hallazgo.

Cuando uno de los puntos no está disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si un identificador de proceso no es estable, se puede utilizar el tiempo, el Host, el Usuario y el Padre; si la carga útil está encriptada, se utilizan metadatos, volumen, frecuencia y contexto TLS/DNS.

Proceso de trabajo recomendado

1. Defina el Alcance y una pregunta de trabajo sobre OWASP API Security Top 10 2023.
2. Anote las fuentes de datos y las pruebas necesarias: BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption.
3. Cree una línea de base corta de comportamiento normal o resultado esperado.
4. Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
5. Construya una línea de tiempo o tabla de comparación y separe el hecho de la interpretación.
6. Realice un Pivot a una fuente adicional para confirmar o refutar la explicación inicial.
7. Resuma la decisión, las limitaciones, la acción recomendada y el criterio de Retest.

Escenario práctico

El escenario elegido es una tabla de Categoría-a-Probar-a-Corregir. El objetivo del ejercicio no es demostrar la capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, un marco de tiempo y un resultado esperado.

Al finalizar el ejercicio, se debe presentar un producto que otro analista o probador pueda revisar: una captura de pantalla o exportación de la evidencia, una línea de tiempo corta, una suposición inicial, una evidencia de confirmación, una limitación y una recomendación. Cuando no hay suficiente evidencia, la conclusión correcta es que el escenario no ha sido probado.

Checklist práctico

• ✓Verifique y documente: Rol y sesión.
• ✓Verifique y documente: Endpoint y método.
• ✓Verifique y documente: Request/Response.
• ✓Verifique y documente: Identificador de objeto.
• ✓Verifique y documente: Efecto en el lado del servidor.
• ✓Verifique y documente: Control esperado y remediación.
• ✓Indique la zona horaria, la versión de la herramienta y la hora de recopilación.
• ✓Guarde los datos brutos antes de filtrar o modificar.
• ✓Escriba lo que demuestra el hallazgo y lo que aún se desconoce.
• ✓Defina el propietario y la acción de seguimiento con una fecha.

Errores comunes

• Comprobar solo el código de estado.
• Confiar en el cambio del lado del cliente.
• Usar una carga útil peligrosa.
• No probar diferentes Roles.
• Ignorar la lógica de negocio.
• Informar sin Request/Response limpios.

Resumen y CTA

OWASP API Security Top 10:2023 para PenTesters es un tema que conecta el conocimiento técnico con la disciplina de trabajo. Comience con una pregunta, recopile solo evidencia relevante, conserve el contexto y el tiempo, y elija una acción que pueda justificarse y volverse a probar.

En el curso Cybersecurity & AI de HPI, estos principios se practican utilizando sistemas, registros y laboratorios. Una continuación natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de una cartera profesional.

Preguntas frecuentes