Web Server Components

• Categoría:

• Configuration

• Referencia:

• OWASP-CM005

Descripcion:

Esta prueba evalúa si los componentes del servidor web (módulos, plugins, frameworks o versiones de software) están actualizados y correctamente configurados. Los servidores con componentes desactualizados o configuraciones inseguras son objetivos frecuentes de los atacantes, quienes aprovechan vulnerabilidades conocidas para comprometer la seguridad de la aplicación y el servidor.

Herramientas recomendadas:

• Nikto

Recomendaciones para realizar la prueba:

Los atacantes identifican componentes del servidor web (como versiones específicas de Apache, Nginx o IIS) y buscan vulnerabilidades conocidas asociadas a ellos. Podrían por ejemplo aprovechar un módulo desactualizado con una vulnerabilidad de ejecución remota de código o inyección de comandos para tomar control del servidor o acceder a información sensible. Se recomienda instalar Nikto en el sistema. Ejecuta un escaneo del servidor: "nikto -h http://tu-servidor.com ". Por último, analiza el informe para identificar componentes o configuraciones que requieran ajustes

Mantén todos los componentes del servidor web actualizados, incluyendo software base, módulos y bibliotecas asociadas. Configura el servidor para que no revele información innecesaria, como versiones específicas en los encabezados HTTP. Realiza auditorías regulares para identificar componentes desactualizados o inseguros y considera desactivar módulos o plugins innecesarios para reducir la superficie de ataque. Como extra, podrías suscribirte a boletines de seguridad para estar al tanto de vulnerabilidades relacionadas con los componentes que utilizas.