Impacto de ataques SQL injection, en los portales web interactivos de las empresas del sector TI de la ciudad de Trujillo

Abstract

El presente trabajo tiene como finalidad proponer una metodología, cuya secuencia de pasos permitirá disminuir el grado de vulnerabilidad de los tipos de ataques llamados SQL Injection, en los portales web de Trujillo. Para ello, se describen las diferentes técnicas y herramientas que se encuentran disponibles así como las buenas prácticas que dictaminan organismos que son autoridades en el tema de SQL Injection, como por ejemplo ISACA, OWASP, RSA, SANS, teniendo en cuenta que SQL injection es uno de los tipos de ataques que tienen mayor impacto en los sistemas.

Se tomó como unidad de análisis los portales web interactivos de la ciudad de Trujillo, teniendo en cuenta que su característica principal es que intercambian datos con un motor de base de datos, pudiendo ser éste MySQL, Oracle o MSSQL, los resultados podrán ser estratificados: primero a nivel de prioridad y luego a nivel de impacto mediático, así con la medición resultante a nivel de los diferentes portales. Sin embargo este modelo se puede adaptar a cualquier sistema de información que haga uso de cualquiera de estos motores de bases de datos.

Para la formulación de los indicadores, se tomaron en cuenta el nivel de riesgo de los datos sensibles, las diferentes metodologías de ataque SQL Injection y, por último, el portal web en sí mismo. Finalmente, se plantea una metodología la cual contempla aspectos tales como: formulación y medición de indicadores para el auto diagnóstico, los cuales se elaboraron a partir de indicadores propuestos por entidades como ISACA, OWASP, RSA, SANS. Todo esto dentro del contexto de la sociedad de la información y de la seguridad de la información, gestión de incidentes y los reportes de los sistemas de seguridad como son los reportes de IDS, Firewalls, entre otros; que nos proporciona la información relevante sobre el estado de los indicadores.

The purpose of this work has a purpose that is to propose a methodoly, which sequence of steps will allow decrease the quantity of vulnerability SQL Injection in Trujillo’s web portals. For this project all the different techniques and tools are described and they are available as well as the god practices that the most important Organism diagnose and other authorities in SQL Injection theme, for example ISACA, OWASP, RSA, SANS, having in account that SQL Injection is one of the Kinds of attacks that have biggest impact in the systems.

The interactive web portals from Trujillo city were taken as unit of analysis, having in account than the main characteristic is to exchange data with database motor. Being able to be MySQL, ORACLE or MSSQL, the results will be able to be stratified. First, the level of priority and then the level of media impact so with the level measurement result of the different portals. However, this model can be adapted to any information system that makes use of these database motors.

For making the indicators, we took in account the level of risk of the score data, the different methodologies of attack SQL Injection and the portal web in itself. Finally, a methodology is proposed which contemplate aspects like: Formulation and measurement of indicators for the self diagnostic which were elaborated from proposed indicators by entities like ISAXA, OWASP, RSA, SANS.

Everything in the context of the society of information and the security information, management of incidents and the reports of security systems as the reports of IDS, Firewalls among others which provide us the relevant information about the indicators.