Programación Segura - Clase 4
Programación Segura - Clase 4
PROGRAMACIÓN SEGURA
Rancagua – TIC – Ingeniería Informática
CLASE 4
https://es.wikipedia.org/wiki/OWASP_Top_10
Owasp Top 10 (de 2003 a 2017)
OWASP Top 10-2003 OWASP Top 10-2004 OWASP Top 10-2007 OWASP Top 10-2010 OWASP Top 10-2013 OWASP Top 10-2017
A1-Secuencia de comandos en
A1-Entrada no validada A1-Entrada no validada A1-Inyección A1-Inyección A1 - Inyección
sitios cruzados XSS
A2-Control de acceso A2-Control de acceso A2-Secuencia de comandos A2-Pérdida de autenticación A2 - Pérdida de
A2-Fallas de inyección
interrumpido interrumpido en sitios cruzados XSS y gestión de sesiones Autenticación
A3-Administración de
A3-Administración de cuentas A3-Ejecución de ficheros A3-Pérdida de autenticación A3-Secuencia de comandos A3 - Exposición de datos
autenticación y sesión
y sesión interrumpida malintencionados y gestión de sesiones en sitios cruzados XSS sensibles
interrumpida
A4-Fallas de cross site A4-Fallas de cross site A4-Referencia insegura y A4-Referencia directa A4-Referencia directa A4 - Entidades Externas
scripting XSS scripting XSS directa a objetos insegura a objetos insegura a objetos XML (XXE)
A5-Falsificación de
A5-Falsificación de peticiones A5-Configuración de A5 - Pérdida de Control de
A5-Desbordamiento de bufer A5-Desbordamiento de bufer peticiones en sitios cruzados
en sitios cruzados CSRF seguridad incorrecta Acceso
CSRF
A6-Fallas de inyección de A6-Revelación de información A6-Defectuosa configuración A6-Exposición de datos A6 - Configuración de
A6-Fallas de inyección
comandos y gestión incorrecta de errores de seguridad sensibles Seguridad Incorrecta
A7-Problemas de manejo de A7-Manejo inadecuado de A7-Pérdida de autenticación y A7-Almacenamiento A7-Ausencia de control de A7 - Secuencia de Comandos
errores errores gestión de sesiones criptográfico inseguro acceso a las funciones en Sitios Cruzados (XSS)
A8-Falsificación de
A8-Uso inseguro de A8-Almacenamiento A8-Falla de restricción de
A8-Almacenamiento inseguro peticiones en sitios cruzados A8 - Deserialización Insegura
criptografía criptográfico inseguro acceso a URL
CSRF
A9-Fallas de administración A9-Protección insuficiente en A9-Uso de componentes con A9 - Componentes con
A9-Negación de servicio A9-Comunicaciones inseguras
remota(no aplicable) la capa de transporte vulnerabilidades conocidas vulnerabilidades conocidas
A10-Configuración indebida A10-Administración de A10-Falla de restricción de A10-Redirecciones y A10-Redirecciones y A10 - Registro y Monitoreo
de servidor web y de aplicación configuración insegura acceso a URL reenvíos no validados reenvíos no validados Insuficientes
OWASP TOP 10
Aplicabilidad en programación segura: Establece un marco de referencia
Uno de los principales objetivos del OWASP Top10 es educar a los desarrolladores,
diseñadores, arquitectos, gerentes y organizaciones sobre las consecuencias de las
debilidades más comunes y más importantes de la seguridad de las aplicaciones web. El
Top10 proporciona técnicas básicas para protegerse contra estas áreas con problemas de
riesgo alto, y proporciona orientación sobre cómo continuar desde allí, mejorando y
perfeccionando las prácticas de seguridad: “OWASP Top10 es un punto de inicio”.
OWASP Top10, es la base mínima de seguridad para cualquier software, y así lo estiman y lo
exigen grandes referentes de la industria, tales como Mastercard, Visa, bancos, compañías de
seguros, las FFAA y el gobierno de USA, la comunidad Europea y también en Chile se exige
como parte de los requisitos estándares para crear software en licitaciones de gobierno (ver
documento adjunto: “Guía Técnica. Lineamientos para Desarrollo de Software. DIC2018)
OWASP ASVS
Aplicabilidad en programación segura: Define un Checklist de Certificación
Ejercicio:
Reunase con 3 ó 4 compañeros y respondan la encuesta que se denomina
“SelfAssesment Checklist ” o Auto-encuesta de cumplimiento..
Sólo requiere responder “SI/NO” en el Excel que le será entregado y debe
justificar brevemente el porque de su respuesta.
Microsoft STRIDE: Amenazas de Seguridad
Microsoft recibe mucha
información acerca de los
tipos de ataques más
habituales y los agrupo en 6
tipos específicos.
STRIDE
Microsoft STRIDE: Amenazas de Seguridad
STRIDE es un acrónimo que representa el espectro de amenazas de seguridad que pueden afectar a la aplicación. Las
seis categorías de amenazas detalladas a continuación permiten identificar los vectores de vulnerabilidades y posibles
ataques en una aplicación.
Crear un DFD
• Notación y artefactos para modelar
un DFD
Modelamiento de amenazas
Ejercicio
...
OWASP A9:2017:
Uso de componentes con vulnerabilidades conocidas
...
Plan de parchado de framework de desarrollo y de entornos seguros
...
Comunicaciones seguras y encriptación:
WS, SOAP, XML
...
CAPTCHAS y autenticación robusta centralizada
...
MUCHAS GRACIAS