Modelo de niveles de seguridad para pruebas de intrusión en aplicaciones web para pymes en el Perú

Abstract

El presente proyecto de tesis se realizó con el propósito de determinar el nivel de seguridad de las aplicaciones web y detectar las vulnerabilidades a tiempo, para mitigar los posibles ciberataques antes de que las aplicaciones se encuentren en el entorno de producción. El objetivo del proyecto es implementar un modelo de niveles de seguridad para determinar las condiciones en que se encuentran las aplicaciones web en las PYMES realizando pruebas de intrusión en la fase de implementación. Este modelo propuesto está basado en la metodología de OWASP, consta de cuatro niveles de seguridad: inicial, básico, estándar y avanzado. Cada nivel consta de un conjunto de pruebas de intrusión que fueron clasificadas mediante indicadores que nos ofrecen el grado de riesgo de cada una de ellas. El modelo de niveles de seguridad fue aplicado en una PYME desarrolladora de software que cumple con las restricciones y suposiciones del proyecto. Como resultado, se identificó que todas las aplicaciones web se encuentran en un nivel básico de seguridad. Adicionalmente, se mostró que el modelo es fácil de usar y económico, ya que las pruebas se pueden realizar con herramientas de código abierto

The present thesis project was carried out with the purpose of determining the level of security of the web applications and detect the vulnerabilities in time, to mitigate the possible cyber-attacks before the applications are in the production environment. The objective of the project is to implement a model of security levels to determine the conditions in which web applications are found in SMEs performing intrusion tests in the implementation phase. This proposed model is based on the OWASP methodology, consisting of four security levels: initial, basic, standard and advanced. Each level consists of a set of intrusion tests that were classified by indicators that offer us the degree of risk of each of them. The safety level model was applied in a software development SME that complies with the project's restrictions and assumptions. As a result, it was identified that all web applications are at a basic security level. Additionally, it was shown that the model is easy to use and economical, since the tests can be performed with open source tools.