¿Qué es la falsificación de solicitudes del lado del servidor?

Para comprender la falsificación de solicitudes del lado del servidor, consideremos un escenario en el que una red corporativa esté protegida por un firewall. Dentro de esta red, puede haber varios dispositivos, como ordenadores, dispositivos personales y servidores. Sin embargo, un servidor web está conectado tanto a la red corporativa como a Internet, lo que actúa como puente entre ambos.

Un atacante puede explotar la SSRF aprovechando el servidor web o un servidor en la nube como punto de giro para eludir el firewall y obtener acceso a los recursos internos de la red corporativa. Este acceso no autorizado puede implicar actividades como lecturas de archivos, análisis de puertos o incluso ejecución remota de código.

Por ejemplo, un atacante podría manipular una solicitud de API diseñada para recuperar avatares de un servidor de archivos con el objetivo de acceder a documentos empresariales o financieros confidenciales almacenados en un directorio diferente. Del mismo modo, en un entorno de nube, un atacante podría acceder a recursos de nube, como credenciales EC2, aprovechando la falsificación de solicitudes en el servidor.

Las entradas y los parámetros de usuario desempeñan un papel fundamental a la hora de permitir los ataques de SSRF. A menudo, las vulnerabilidades de SSRF surgen cuando una API acepta entrada de usuario no validada o gestiona incorrectamente los parámetros en las solicitudes HTTP. Los atacantes pueden manipular estos parámetros para enviar solicitudes a destinos no deseados, como recursos internos u otras partes confidenciales de la red corporativa. La validación correcta de la entrada del usuario y el saneamiento de los parámetros pueden reducir significativamente el riesgo de SSRF, lo que evita que los atacantes aprovechen estas debilidades para acceder a los recursos internos.

Aunque se suele considerar que las API son seguras de forma predeterminada, es crucial recordar que, básicamente, son aplicaciones web. Por lo tanto, cualquier vulnerabilidad que afecte a una aplicación web también puede afectar a una API. El hecho de obtener recursos externos a través de API presenta un riesgo significativo, lo que convierte a la SSRF en una preocupación fundamental para los profesionales de la seguridad de API.

Una de las formas más eficaces de mitigar la SSRF es proteger la comunicación entre la API y los servicios back-end. Esto incluye implementar medidas estrictas de control de acceso, garantizar que los recursos internos no estén expuestos a solicitudes no autorizadas y configurar cuidadosamente los ajustes de DNS para evitar que los atacantes resuelvan las direcciones IP internas. Además, el uso de canales cifrados y la garantía de que los terminales de API solo se comuniquen con servicios back-end de confianza pueden reducir en gran medida el riesgo de ataques de SSRF. También es esencial actualizar periódicamente los protocolos de seguridad y garantizar un diseño de API adecuado acorde con las prácticas recomendadas de los 10 principales riesgos de seguridad de API según OWASP.

Para mitigar el riesgo de la SSRF, se pueden implementar varias medidas:

• Listas de permitidos: implemente listas de permitidos para restringir los recursos que se pueden recuperar a través de las API. Al especificar determinados recursos, las organizaciones pueden cerciorarse de que solo se acceda a los recursos autorizados y seguros.
• Aislar servidores web: evite colocar servidores web directamente en la red corporativa interna. En su lugar, considere implementarlos en un segmento de red independiente o en la nube para minimizar la posibilidad de ataques de SSRF.
• Evaluar la necesidad de recursos: evalúe si la búsqueda de recursos externos es realmente necesaria para la funcionalidad de la API. Minimizar la dependencia de recursos externos puede reducir la superficie de ataque y mitigar el riesgo de falsificación de solicitudes en el servidor.
• Protección de firewall: utilice siempre un firewall en la red corporativa para proporcionar una capa adicional de defensa contra el acceso no autorizado y los posibles ataques de SSRF.
• Seguir las recomendaciones de diseño de API: manténgase al día con recomendaciones de diseño de API que proporcionan prácticas recomendadas para desarrollar API resistentes a los ataques de SSRF.