Reducir la superficie: lo que no existe no falla

4 tareas · 35 min · Principiante

Cada ruta publicada, cada función encendida y cada dependencia es algo que alguien tiene que proteger, actualizar y vigilar, se use o no. Lavaseco Espumilla, una cadena de lavanderías con app de pedidos y recogidas, te entrega con autorización escrita el inventario de sus rutas con el uso de 90 días, su dueño y su autenticación, y la lista de dependencias que existen solo por una ruta. No se llama a ninguna ruta: se lee el inventario y se decide qué se quita, qué se encierra y qué se deja.

0 de 4 · 0%

Objetivo de la sala

La superficie de una aplicación es todo lo que alguien de fuera puede tocar: rutas, parámetros, funciones encendidas, servicios a la escucha, dependencias que procesan entrada. Reducirla es el principio con mejor relación entre esfuerzo y resultado, porque lo que no existe no tiene fallos, no necesita parches y no hay que vigilarlo. MITRE lo cataloga como CWE-1125, superficie de ataque excesiva.

La reducción se decide con datos, no con intuición: un inventario con el uso real de cada pieza, su dueño y su protección. Lo que nadie usa y nadie reclama se retira, con su código y sus dependencias. Lo que se usa poco pero hace falta no se borra: se saca de donde todos lo alcanzan. Y lo que no tiene dueño es en sí mismo un hallazgo, porque nadie va a parchearlo.

Responde para continuar

Una versión anterior de la API sigue publicada, sin uso en 90 días y sin dueño. ¿Qué recomienda la revisión?

Dejarla publicada y ponerle un filtro web delante, por si algún cliente antiguo la necesita Mantenerla, pero cambiar su dirección por una difícil de adivinar para que no la encuentren Retirarla junto con su código y sus dependencias, después de confirmar que nadie la reclama

Ver pista de ayuda

Esconder no es quitar, y proteger algo que nadie usa sigue costando.

En un inventario largo, lo urgente se ve cruzando columnas: sin uso, sin dueño y sin autenticación a la vez. Una ruta así no le sirve a nadie, nadie la va a parchear y cualquiera puede llamarla. Es el primer candidato a desaparecer.

Abre inventario-rutas.txt y lee la columna de autenticación junto con la de peticiones.

Responde para continuar

¿Qué ruta publicada no pide ninguna autenticación y no recibió peticiones en 90 días? Escríbela tal como aparece.

El informe propone retirar todo lo que lleva 90 días sin una sola petición, y necesita el número exacto: es el alcance del trabajo y la forma de comprobar después que el inventario encogió lo que debía.

Cuenta en el mismo archivo las rutas sin peticiones.

Responde para continuar

¿Cuántas rutas del inventario tienen cero peticiones en los últimos 90 días? Escribe solo el número.

Reducir la superficie no es borrar todo lo que se usa poco. Una ruta de administración que se llama tres veces en un trimestre puede ser imprescindible el día que cambian los precios. La pregunta para ella es otra: ¿por qué está al alcance de todo internet, si solo la usa un equipo interno? Sacarla del borde público reduce la superficie sin quitarle la herramienta a nadie.

Abre dependencias.txt también: lo que se retira arrastra sus dependencias, y lo que se encierra las conserva.

Responde para continuar

¿Qué recomienda el informe para /admin/importar-precios?

Retirarla con las rutas sin uso, porque tres peticiones en noventa días no justifican mantenerla Dejarla como está y añadir una regla en el filtro web que bloquee los archivos de más de 1 MB Mantenerla y sacarla del borde público: solo desde la red interna y con el rol de administración

Ver pista de ayuda

Mira quién es su dueño y para qué la usa.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El control más barato

2 La ruta que nadie vigila Lab

3 El tamaño de la limpieza Lab

4 Poco uso no es ningún uso Lab

Whoami-Labs Pro utiliza cookies