El equipo de investigación de S21sec, compañía española dedicada a la consultoría de seguridad informática en Internet, ha identificado durante los últimos cinco meses (junio-noviembre) 1320 vulnerabilidades que tienen su origen en las aplicaciones con respecto a las 2113 que se han registrado en total, lo que significa que el 62,5% de las vulnerabilidades localizadas pueden provocar incidentes de seguridad vía aplicativo web.

S21sec ha registrado el mayor número de agujeros de seguridad en las aplicaciones Apache Web Server (Módulos Añadidos), Internet Explorer, IIS, Compaq Tru, Microsoft SQL Server y Oracle9i.

Por otro lado, en S21sec han demostrado que los errores o fallos que generan la aparición o el descubrimiento de estas vulnerabilidades son fundamentalmente tres: error en la validación de introducción de un login o password, error en el diseño de la aplicación provocando fallos de seguridad y error de límite o de desbordamiento de memoria.

Hasta el momento, la única solución para hacer frente a este tipo de incidentes de seguridad han sido las auditorías de código de aplicaciones web ya que los cortafuegos tradicionales y los IDS no protegen la integridad de las aplicaciones. Pero su elevado coste, 3 euros por línea, la falta de garantía de seguridad a lo largo del tiempo y la desprotección en aplicaciones desarrolladas por terceros hacen de ésta una solución inadecuada.

Por ello, S21sec, para este tipo de protección recomienda a los responsables de seguridad de las entidades los productos desarrollados por la misma compañía para tal fin. Los cortafuegos de aplicaciones web HIVE y CODEWALL detectan y anulan todos los ataques a sitios web como, por ejemplo la modificación de variables, heap/buffer overflow, etc, evitando la emisión de falsos positivos. Ambos productos reducen el tiempo de desarrollo de una aplicación y proporcionan seguridad a las aplicaciones propietarias y a las desarrolladas por terceros.

Por otro lado, el servicio Vulnera de S21sec, es una herramienta muy útil, ya que da a conocer al usuario las vulnerabilidades en el momento de su descubrimiento y ofrece la solución a implantar para eliminar futuros problemas de seguridad.