Cuando se administra un servidor Web, uno de los puntos claves a tener en cuenta es la seguridad tanto de los servicios como de los aplicativos alojados en él, ya que si no contamos con buenas medidas de seguridad, dichos aplicativos, podrían ser la puerta de entrada a nuestra organización de un delincuente informático, por ello revisa la seguridad de tu sitio web Gratis es de suma importancia.
Tabla de Contenido
Desafortunadamente, son pocos los administradores que cuentan con conocimientos en seguridad Web
Por lo anterior día a día se ven casos de intrusiones en donde los sitios Web fueron el débil eslabón por medio del cual ingresaron a los sistemas de una organización.
Revisa la seguridad de tu sitio web Gratis con ZeroDayScan
ZeroDayScan es un servicio que ayuda en la tarea de revisar la seguridad de un aplicativo Web automáticamente, para utilizarlo, solo necesitamos llenar el siguiente formulario, como se indica en la siguiente imagen:
Para comenzar el escaneo debes facilitar la URL de la página web y tu dirección de correo electrónico. Para verificar que eres el propietario del dominio, tienes que subir un archivo específico al servidor.
¿Qué permite realizar la aplicación?
La aplicación permite detectar las siguientes vulnerabilidades
- Cross Site Scripting attacks (XSS)
- Detecta directorios ocultos o backups
- Busca inyecciones SQL
- Detecta automáticamente vulnerabilidades Zero Day
- Realiza un fingerprint de nuestra aplicativo Web
Un aplicativo con todos los resultados encontrados
Si ZeroDayScan detecta algo en nuestro sitio Web, nos enviará vía correo electrónico, un completo informe con las vulnerabilidades encontradas.
Finalmente te solicita añadir un archivo de texto con un texto de seguridad que debe agregarse a tu sitio. Esto asegura que escanees sólo los sitios para los que estás autorizado.
Hoy en día el aplicativo está siendo utilizado por webmasters y expertos en seguridad, para validar la seguridad de sus sitios web.
ZeroDayScan ya no responde
La página oficial del servicio ya no responde, así que el procedimiento anterior queda como registro de cómo funcionaba en 2010, no como un servicio que puedas usar hoy.
Qué puede y qué no puede hacer un escáner
Un escáner automático encuentra lo que ya se conoce: inyecciones SQL y XSS con patrones probados, directorios y copias de seguridad expuestas, versiones de software con fallas publicadas y cabeceras de seguridad ausentes. Eso ya es mucho: la mayoría de los sitios comprometidos caen por una de esas puertas, no por un ataque exótico.
Lo que ningún escáner automático hace es detectar vulnerabilidades zero day desconocidas: si nadie conoce la falla, no hay patrón que buscar. Esa promesa, que figuraba entre las funciones anunciadas del servicio, hay que leerla así: el escáner buscaba fallas conocidas y configuraciones peligrosas, y eso es lo que realmente protege.
Revisa tu sitio hoy, gratis y con herramientas vigentes
La idea del artículo sigue intacta y hoy se hace mejor, sin pagar y sin depender de un servicio que ya no existe:
- OWASP ZAP, el escáner gratuito de OWASP, para buscar XSS, inyecciones y configuraciones peligrosas en tu propio sitio, con autorización.
- Mozilla Observatory, para revisar cabeceras de seguridad y buenas prácticas de HTTPS de cualquier sitio público.
- Qualys SSL Labs, para calificar la configuración TLS de tu dominio.
- Y como referencia de qué buscar, el owasp top 10, la lista de las diez categorías de riesgo más comunes en aplicaciones web.
Dos reglas que valían en 2010 y valen hoy: escanea solo sitios tuyos o con autorización explícita, y un informe limpio no significa un sitio seguro, significa que el escáner no encontró nada de lo que sabe buscar. La revisión manual y las pruebas periódicas siguen siendo parte del trabajo.
