Ficha: 52260
Juan David Yepes Trujillo
Harol Torres Ospina
Jhojan David Palencia T.
Descripción inicial de la
Aplicación
IDENTIFICACIÓN DE RIESGOS
Siglos, Aplicación desarrollada
internamente de la empresa Sistemas
Colombia la cual tiene cómo objetivo
principal el manejo, control y seguimiento
de inventario de los equipos de cómputo
de la compañía y administrados por el
área de Service Desk
1 4
Inyección de SQL
Sucede cuando los datos proporcionados
por los usuarios no se regulan
correctamente y permiten la ejecución
de consultas SQL no deseadas lo que
permite que los atacantes puedan
acceder y manipular datos, tablas y
secuencias mediante consutlas.
SISTEMA DE
INFORMACIÓN:
SIGLOS
Identificación de
posibles
vulnerabilidades
actuales en la
aplicación.
2 Gestión insegura de
Manejo inseguro de
contraseñas
Al no definir un estricto manejo
de las contraseñas, roles y
parametros de accesos tanto a
la aplicación cómo a la base de
datos se pueden abrir brechas
de seguridad las cuales
permitiría el acceso noa
utorizado a módulos e
información
3
Falta de seguimiento y
validación
La falta de validación adecuada de los
datos de entrada puede permitir ataques
como la inclusión de archivos locales
(LFI), la inclusión remota de archivos (RFI)
o la ejecución de código arbitrario
sesiones
Las sesiones son un componene básico
en la ejecución y funcionamiento de
la aplicación, se asegura la
utilización de sesión segura
almacenada en ubicación segura y
configurada correctamente, se
cuenta con `session.cookie_secure` y
`session.cookie_httponly`, para
proteger las sesiones contra ataques
de secuestro o XSS.
 R
1 2 3 4
Se cuenta con una La aplicación fue Se evidencia con un sistema
La aplicación actual al
encriptación MD5 la cual desarrollada por una de control de sesión al
contar con validación por
garantiza seguridad y persona. y testeada por acceso, tiempos de espera
objetos en cada input se
fiablidad en el uso de 6 análistas, al ser y reposo para evitar
garantiza la no
las contraseñas, se revisada se cuenta con vulnerabilidad por
utiliuzación de
cuenta con variables de retroalimentación pero inactividad y la base de
caracteres especiales
sesión validables en cada se sugiere la ampliación datos está alojada en una
que faciliten la inyección
formulario las cuales del personal encargado máquina virtual
de consultas no deseadas
garantizan el acceso del desarrollo para administrada por 1 persona
SQL en la aplicación
autorizado y evitar el no abarcar más seguimiento lo cual minimiza los accesos
mediante la interfáz.
autorizado. y control. no autorizados

Método de identificación de
riesgos

Uso de herramientas
Revisión de código:
de análisis dinámico las
Relaizar una revisión Pruebas de Uso de herramientas
Recursos de seguridad y cuales análizan
exahustiva del código Penetración: de análisis estático
seguimiento de informes durante el tiempo de
PHP en búsuqeda de Denominadas las cuales revisan el
de seguridad, Uso de ejecución para
vulnerabilidades y "penetration testing" código en búsqueda
recursos de seguridad identificar posibles
malas prácticas de en la cual se simulan de problemas de
confiables cómo OWASP vulnerabilidades y
seguridad. ataques reales y seguridad y malas
para tener presente las riesgos.
explotar posibles prácticas de
mejores prácticas de
puntos débiles programación
seguridad.