El Proyecto de Seguridad de Aplicaciones Web Open ha introducido recientemente un nuevo proyecto Top 10: el Top 10 de identidad no humana (NHI). Listas de seguridad API y aplicaciones web ampliamente utilizadas. <\/p>\n
La seguridad de identidad no humana representa un inter\u00e9s emergente en la industria de la ciberseguridad, que abarca los riesgos y la falta de supervisi\u00f3n asociada con las claves API, cuentas de servicio<\/a>Aplicaciones OAuth, claves SSH, roles IAM, secretos y otras credenciales de m\u00e1quinas e identidades de carga de trabajo. <\/p>\n Teniendo en cuenta que los 10 proyectos emblem\u00e1ticos de OWASP ya cubren una amplia gama de riesgos de seguridad en los que los desarrolladores deben centrarse, uno podr\u00eda preguntar: \u00bfrealmente necesitamos el NHI Top 10? La respuesta corta es – s\u00ed<\/a>. Veamos por qu\u00e9 y exploremos los 10 principales riesgos de NHI. <\/p>\n Mientras que otros proyectos OWASP podr\u00edan tocar las vulnerabilidades relacionadas, como la configuraci\u00f3n err\u00f3nea de los secretos, las NHIS y sus riesgos asociados van mucho m\u00e1s all\u00e1 de eso. Seguridad incidentes <\/a>Aprovechar NHIS no solo gira en torno a los secretos expuestos; se extienden a permisos excesivos, ataques de phishing oauth, roles de IAM utilizados para movimiento lateral<\/a>y m\u00e1s. <\/p>\n Si bien es crucial, las listas de OWASP Top 10 existentes no abordan adecuadamente los desaf\u00edos \u00fanicos no presentes. Siendo los facilitadores de conectividad cr\u00edticos entre sistemas, servicios, datos y agentes de IA, NHIS son extremadamente frecuentes en los entornos de desarrollo y tiempo de ejecuci\u00f3n, y los desarrolladores interact\u00faan con ellos en cada etapa de la tuber\u00eda de desarrollo. <\/p>\n Con el Creciente frecuencia de ataques dirigidos a NHIS<\/a>se hizo imperativo equipar a los desarrolladores con una gu\u00eda dedicada sobre los riesgos que enfrentan.<\/p>\n Antes de sumergirnos en los riesgos reales, es importante comprender la clasificaci\u00f3n detr\u00e1s de los 10 mejores proyectos. OWASP Top 10 proyectos siguen un conjunto est\u00e1ndar de par\u00e1metros para determinar la gravedad del riesgo:<\/p>\n Ahora a la carne. Exploremos los principales riesgos que obtuvieron un lugar en el NHI Top 10<\/a> lista y por qu\u00e9 importan:<\/p>\n NHIS est\u00e1 dise\u00f1ado para facilitar procesos, servicios y aplicaciones automatizadas sin intervenci\u00f3n humana. Sin embargo, durante las fases de desarrollo y mantenimiento, los desarrolladores o administradores pueden reutilizar NHIS por operaciones manuales que idealmente deber\u00edan realizarse utilizando credenciales humanos personales con privilegios apropiados. Esto puede causar un mal uso de privilegios y, si esta clave abusada es parte de una exploit, es dif\u00edcil saber qui\u00e9n es responsable por ello. <\/p>\n La reutilizaci\u00f3n de NHI ocurre cuando los equipos reutilizan lo mismo cuenta de servicio<\/a>por ejemplo, en m\u00faltiples aplicaciones. Si bien es conveniente, esto viola el principio de menor privilegio y puede exponer m\u00faltiples servicios en el caso de un NHI comprometido, aumentando el radio de explosi\u00f3n. <\/p>\n Una falta de Aislamiento del entorno estricto<\/a> puede conducir a probar el sangrado de NHIS a la producci\u00f3n. Un ejemplo del mundo real es el Tormenta de medianoche<\/a> Ataque a Microsoft, donde se encontr\u00f3 que una aplicaci\u00f3n OAuth utilizada para las pruebas ten\u00eda altos privilegios en la producci\u00f3n, exponiendo datos confidenciales.<\/p>\n Los secretos que siguen siendo v\u00e1lidos por per\u00edodos prolongados representan un riesgo significativo. Un incidente notable involucr\u00f3 a Microsoft AI exponiendo inadvertidamente un token de acceso en un repositorio p\u00fablico de GitHub, que permaneci\u00f3 activo durante m\u00e1s de dos a\u00f1os y proporcion\u00f3 acceso a 38 terabytes de datos internos.<\/p>\n Las tuber\u00edas de CI\/CD requieren inherentemente permisos extensos, lo que los convierte en objetivos principales para los atacantes. Las configuraciones err\u00f3neas, como las credenciales codificadas o las configuraciones OIDC demasiado permisivas, pueden conducir a un acceso no autorizado a recursos cr\u00edticos, exponi\u00e9ndolos a infracciones.<\/p>\n A muchos NHI se les otorgan privilegios excesivos debido a las malas pr\u00e1cticas de aprovisionamiento. Seg\u00fan un Informe reciente de CSA<\/a>El 37% de los incidentes de seguridad relacionados con NHI fueron causados \u200b\u200bpor identidades sobrevivilizadas, destacando la necesidad urgente de controles de acceso adecuados y pr\u00e1cticas de menos privilegios. <\/p>\n Muchas plataformas como Microsoft 365 y Google Workspace todav\u00eda admiten m\u00e9todos de autenticaci\u00f3n inseguros como flujos de OAuth impl\u00edcitos y contrase\u00f1as de aplicaciones, que evitan el MFA y son susceptibles a los ataques. Los desarrolladores a menudo desconocen los riesgos de seguridad de estos mecanismos obsoletos, lo que lleva a su uso generalizado y una posible explotaci\u00f3n. <\/p>\n Muchas tuber\u00edas de desarrollo dependen de herramientas y servicios de terceros para acelerar el desarrollo, mejorar las capacidades, monitorear aplicaciones y m\u00e1s. Estas herramientas y servicios se integran directamente con IDES y reposteres de c\u00f3digo utilizando NHIS como claves API, aplicaciones OAuth y cuentas de servicio. Las violaciones que involucran a proveedores como Circleci, Okta y Github han obligado a los clientes a luchar para rotar las credenciales, destacando la importancia de monitorear y mapear estrechamente estos NHIS de propiedad externamente. <\/p>\n La fuga secreta sigue siendo una preocupaci\u00f3n principal, a menudo sirviendo como el vector de acceso inicial para los atacantes. La investigaci\u00f3n indica<\/a> que el 37% de las organizaciones tienen secretos codificados dentro de sus aplicaciones, lo que los convierte en objetivos principales.<\/p>\n Clasificado como el principal riesgo de NHI, el fuera de borda inadecuado se refiere a la supervisi\u00f3n prevalente de NHIS persistente que no fueron eliminados o desmantelados despu\u00e9s de que un empleado se fue, se elimin\u00f3 un servicio o se termin\u00f3 un tercero. De hecho, m\u00e1s del 50% de las organizaciones no tienen procesos formales para el NHIS fuera de borda. NHIS que ya no se necesitan pero permanecen activos crean una amplia gama de oportunidades de ataque, especialmente para las amenazas internas. <\/p>\n El OWASP NHI Top 10 llena un vac\u00edo cr\u00edtico al arrojar luz sobre los desaf\u00edos de seguridad \u00fanicos planteados por NHIS. Los equipos de seguridad y desarrollo carecen de un claro, vista estandarizada<\/a> De los riesgos que representan estas identidades y c\u00f3mo hacerlas en los programas de seguridad. A medida que su uso contin\u00faa expandi\u00e9ndose a trav\u00e9s de aplicaciones modernas, proyectos como el Top 10 Owasp NHI se vuelven m\u00e1s cruciales que nunca. <\/p>\n <\/p>\nPor qu\u00e9 necesitamos el NHI Top 10<\/strong><\/h2>\n
![\"OWASP](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/\u00bfRealmente-necesitamos-el-top-10-Owasp-NHI.jpg\" "\\"OWASP")
<\/a><\/div>\nComprender los criterios de clasificaci\u00f3n Top 10 Owasp Top 10<\/strong><\/h2>\n
\n
Desglosando los 10 riesgos OWASP NHI Top 10<\/strong><\/h2>\n
NHI10: 2025 – Uso humano de NHI<\/strong><\/h3>\n
NHI9: 2025 – Reutilizaci\u00f3n de NHI<\/strong><\/h3>\n
NHI8: 2025 – Aislamiento del medio ambiente<\/strong><\/h3>\n
NHI7: 2025 – Secretos de larga vida<\/strong><\/h3>\n
NHI6: 2025 – Configuraciones de implementaci\u00f3n de la nube insegura<\/strong><\/h3>\n
NHI5: 2025 – NHI demasiado privilegiado<\/strong><\/h3>\n
NHI4: 2025 – M\u00e9todos de autenticaci\u00f3n inseguros<\/strong><\/h3>\n
NHI3: 2025 – NHI de terceros vulnerable<\/strong><\/h3>\n
NHI2: 2025 – Fuencia secreta<\/strong><\/h3>\n
NHI1: 2025 – Inforso incorrecto<\/strong><\/h3>\n
Un marco estandarizado para la seguridad NHI<\/strong><\/h2>\n