NoSQL

NoSQL (Not Only SQL) es un conjunto de sistemas de gestión de BD (bases de datos) diseñados para manejar grandes volúmenes de datos no estructurados o semiestructurados. A diferencia de los sistemas basados en SQL, los motores NoSQL no dependen de un esquema rígido de tablas y relaciones, lo que les otorga mayor flexibilidad, escalabilidad y rendimiento en entornos distribuidos.

En el ámbito de la seguridad, comprender el funcionamiento de NoSQL es crucial para proteger apps, srv y API modernas que utilizan bases de datos no relacionales.

Características principales

Sin esquema fijo: Los datos pueden almacenarse en distintos formatos (documentos, grafos, pares clave-valor o columnas).
Escalabilidad horizontal: Los datos se distribuyen entre múltiples srv o nodos, favoreciendo la expansión del sistema sin pérdida de rendimiento.
Alto rendimiento: Optimizado para operaciones de lectura/escritura masiva y consultas en tiempo real.
Alta disponibilidad (HA): Mediante replicación y redundancia entre nodos.
Flexibilidad: Ideal para apps con estructuras dinámicas y datos cambiantes.

Tipos de BD NoSQL

1. Clave-Valor

Almacenan información como pares de clave → valor.
Ideales para cache, sesiones de usr o cfg temporales.
Ejemplos: Redis, Riak, Amazon DynamoDB.

SET usr:1 "Darfe"
GET usr:1

2. Documentales

Los datos se almacenan en documentos tipo JSON o BSON.
Permiten consultas complejas sin esquema predefinido.
Usadas en apps web, móviles y microservicios.
Ejemplos: MongoDB, CouchDB, Firestore.

{
  "_id": 1,
  "nombre": "Darfe",
  "correo": "user@darfe.es",
  "rol": "admin"
}

3. Columnar

Organizan la información por columnas en lugar de filas.
Son ideales para análisis de datos y consultas masivas.
Ejemplos: Cassandra, HBase, ScyllaDB.

CREATE TABLE usuarios (
    id UUID PRIMARY KEY,
    nombre TEXT,
    edad INT
);

4. Grafos

Representan relaciones mediante nodos (entidades) y aristas (enlaces).
Ideales para apps de redes sociales, análisis de relaciones o motores de recomendación.
Ejemplos: Neo4j, ArangoDB, OrientDB.

CREATE (a:Usuario {nombre: "Darfe"})-[:SIGUE]->(b:Usuario {nombre: "Lía"})

Ventajas y Desventajas

Ventajas:

Escalabilidad masiva y alta disponibilidad.
Flexibilidad en el diseño de datos.
Ideal para sistemas distribuidos y de alta concurrencia.

Desventajas:

Falta de estandarización (cada motor usa su propia sintaxis o API).
Pérdida parcial de las propiedades ACID.
Complejidad en la replicación y la seguridad avanzada.

Seguridad y Buenas Prácticas

Validación de entradas: Evitar inyecciones NoSQL limitando los operadores permitidos.
Control de permisos: Asignar privilegios mínimos a los usr y srv de base de datos.
Autenticación y cifrado: Activar TLS y autenticación obligatoria.
Auditoría constante: Monitorear accesos y operaciones críticas.
Evitar exposición pública: No dejar puertos abiertos sin control (ej. :27017 en MongoDB).

Inyección NoSQL

Una inyección NoSQL ocurre cuando un atacante manipula una consulta construida dinámicamente (por ejemplo, en formato JSON), logrando acceder o modificar datos sin autorización.

Ejemplo de vulnerabilidad:

{
  "usr": {"$ne": null},
  "pass": {"$ne": null}
}

Esto fuerza la coincidencia de cualquier registro, permitiendo acceso no autorizado.

Prevención:

Usar consultas parametrizadas o funciones de validación seguras.
Sanitizar la entrada del usr y rechazar operadores como `$ne`, `$gt`, `$where`.
Aplicar autenticación robusta y limitar las respuestas de error.

Conclusión

NoSQL representa una evolución hacia sistemas más adaptables, distribuidos y escalables. Sin embargo, su potencia requiere una gestión cuidadosa en cuanto a configuración, permisos y seguridad de datos para evitar brechas críticas en entornos modernos de seguridad.