SQL-Ids

Las vulnerabilidades en las aplicaciones web permiten que usuarios malintencionados obtengan acceso no restringido a información privada y confidencial. Los ataques de inyección SQL ocupan el primer lugar en la lista de amenazas dirigidas a cualquier aplicación basada en bases de datos escrita para la web. Un atacante puede aprovechar las fallas de seguridad en la programación de aplicaciones web y enviar declaraciones SQL maliciosas inesperadas a través de una aplicación web para que sean ejecutadas por la base de datos de backend. Este documento propone una metodología novedosa basada en especificaciones para la detección de explotaciones de vulnerabilidades de inyección SQL. El nuevo enfoque, por un lado, utiliza especificaciones que definen la estructura sintáctica prevista de las consultas SQL que son producidas y ejecutadas por la aplicación web y, por otro lado, monitorea la aplicación para ejecutar consultas que violen la especificación. Las tres ventajas más importantes del nuevo enfoque en comparación con mecanismos análogos existentes son que, primero, previene todas las formas de ataques de inyección SQL; segundo, su efectividad es independiente de cualquier sistema objetivo particular, entorno de aplicación o SGBD; y, tercero, no es necesario modificar el código fuente de las aplicaciones web existentes para aplicarles el nuevo esquema de protección. Desarrollamos un prototipo de sistema de detección de inyección SQL (SQL-IDS) que implementa el algoritmo propuesto. El sistema monitorea aplicaciones basadas en Java y detecta ataques de inyección SQL en tiempo real. Informamos algunos resultados experimentales preliminares sobre varios ataques de inyección SQL que muestran que la detección específica de consultas propuesta permite al sistema realizar un análisis enfocado con una sobrecarga computacional negligible sin producir falsos positivos o falsos negativos. Por lo tanto, el nuevo enfoque es muy eficiente en la práctica.