Qué es A09: cuando nadie ve el ataque

Imagine una tienda en línea, Mercado Arenal, que vende café y artesanías desde tienda.ejemplo.cr. Una madrugada alguien prueba miles de contraseñas contra la cuenta del administrador, entra, exporta la lista de clientes y se va. Nadie lo nota. Tres meses después, un banco avisa que varias tarjetas de clientes de la tienda aparecen en fraudes. La empresa abre sus registros y descubre que no hay nada útil: la aplicación solo guardaba mensajes de depuración y se borraban cada semana.

Eso es A09: fallas de registro y monitoreo, la novena categoría del OWASP Top 10 2021. En una frase: la aplicación no deja el rastro necesario para detectar un ataque, investigarlo y responder a tiempo. A diferencia de la inyección o del control de acceso roto, esta falla no abre la puerta al atacante. Lo que hace es apagar las luces: permite que el ataque dure más, que el daño crezca y que después nadie pueda explicar qué pasó.

Breve historia: OWASP, el Top 10 y A09

OWASP (Open Worldwide Application Security Project, antes Open Web Application Security Project) es una comunidad sin fines de lucro nacida en 2001 que publica guías, herramientas y estándares abiertos de seguridad de aplicaciones. Su documento más conocido es el OWASP Top 10: una lista de las diez categorías de riesgo más importantes en aplicaciones web, construida con datos de pruebas reales y con una encuesta a profesionales.

Año	Hito
2001	Nace OWASP como comunidad abierta
2003	Primera edición del Top 10
2017	Aparece "registro y monitoreo insuficientes" en el último lugar, A10
2021	La categoría sube a A09 y se amplía a "fallas de registro y monitoreo de seguridad"

El ascenso de 2021 se debió a la encuesta a la comunidad. Es una falla difícil de medir con pruebas automáticas, porque un escáner no puede saber si alguien mira las alertas, pero quienes responden incidentes la ven en casi todos los casos. En este curso se usa la numeración de 2021, la misma de toda la serie.

Por qué importa en ciberseguridad y en el trabajo

Los informes anuales de la industria repiten la misma idea: muchas intrusiones se descubren semanas o meses después, y con frecuencia el aviso llega de afuera (un cliente, un banco o el propio atacante pidiendo un rescate). En varias brechas públicas, los atacantes estuvieron dentro durante meses porque nadie atendió las alertas o la aplicación no registraba los accesos a los datos.

A09 toca a varios roles a la vez:

• Quien desarrolla decide qué eventos escribe la aplicación y con qué campos.
• Quien trabaja en un SOC recibe esos eventos y solo puede detectar lo que la aplicación registró.
• Quien responde incidentes reconstruye la línea de tiempo con esos registros; sin ellos, no puede decir qué datos salieron ni a quién avisar.
• Quien audita o hace pruebas autorizadas reporta las fallas de registro como hallazgos, igual que una inyección.

Si nadie domina el tema, la organización no solo tarda más en enterarse de un ataque: tampoco puede demostrar ante clientes o autoridades qué pasó y qué no.

Las CWE principales

OWASP agrupa varias debilidades del catálogo CWE bajo A09. Conviene conocer estas cuatro:

CWE	Nombre	En palabras simples
CWE-778	Registro insuficiente	La aplicación no anota eventos de seguridad, como inicios de sesión fallidos
CWE-223	Omisión de información relevante	Se registra el evento, pero sin quién, cuándo o desde dónde
CWE-532	Información sensible en el registro	El registro guarda contraseñas, tokens o datos personales
CWE-117	Neutralización incorrecta de salida en registros	Un atacante inyecta líneas falsas en el registro

Fíjese en que dos de ellas son por registrar demasiado poco y dos por registrar mal. Un buen diseño evita ambos extremos.

Registro, monitoreo y respuesta

Tres palabras que suelen mezclarse:

• Registro (logging): la aplicación escribe eventos en un formato que alguien pueda leer después.
• Monitoreo: esos eventos llegan a un lugar central donde se revisan, se correlacionan y disparan alertas.
• Respuesta: una persona o un proceso automático actúa cuando la alerta suena.

Si falla cualquiera de los tres, la cadena se rompe. Un registro perfecto que nadie mira equivale a no tener registro. Una alerta que llega a un buzón que nadie lee tampoco sirve.

Dónde aparece A09

Lugar	Ejemplo de falla
Aplicaciones web	El inicio de sesión no registra fallos ni éxitos
API y aplicaciones móviles	El servidor de la API responde 403 sin dejar rastro
Paneles de administración	Una exportación masiva de clientes no queda anotada
Contenedores y nube	Los registros viven dentro del contenedor y se pierden al reiniciarlo
Servidores y SIEM	El agente dejó de enviar eventos y nadie lo notó durante semanas

Conceptos clave

Concepto	Qué significa
Evento	Algo que pasó y vale la pena anotar: un inicio de sesión, un acceso denegado, un error
Registro (log)	El archivo o flujo donde la aplicación escribe sus eventos, una línea por evento
Nivel	La importancia del evento: DEBUG, INFO, WARNING, ERROR o CRITICAL
CWE	Common Weakness Enumeration, el catálogo público de debilidades de software que mantiene MITRE
SIEM	Security Information and Event Management, el sistema que centraliza registros, los correlaciona y genera alertas
Alerta	Aviso que se dispara cuando los eventos cumplen una regla, por ejemplo muchos fallos seguidos
Retención	Cuánto tiempo se guardan los registros antes de borrarlos