🛠 Buenas prácticas:
✔ Usar versiones actualizadas y seguras de librerías.
✔ Verificar la confiabilidad de los proveedores de software.
✔ Implementar herramientas como OWASP Dependency-Check para analizar vulnerabilidades en las dependencias.

💡 Buenas prácticas:
✔ Validación de entradas para evitar ataques de inyección (SQL Injection, XSS).
✔ Principio de privilegio mínimo: Solo se otorgan los permisos estrictamente necesarios.
✔ Cifrado de datos sensibles (contraseñas, información de pago).

🔍 Ejemplo: Un sitio web que permite a los usuarios subir archivos implementa filtros para evitar que los atacantes carguen archivos maliciosos.

Los activos son los elementos más importantes que debemos proteger en una página web.

🔹 Ejemplo en una tienda en línea:
✅ Datos de los usuarios (correos, contraseñas, direcciones).
✅ Información financiera (tarjetas de crédito, métodos de pago).
✅ Base de datos con productos y pedidos.
✅ API de autenticación (inicio de sesión con Google/Facebook).

Aquí se analizan las amenazas más comunes que podrían comprometer la seguridad.

Inyección SQL - Impacto

Robo o eliminación de información confidencial.

Cross-Site Scripting (XSS) - Impacto

Secuestro de cuentas de usuarios.

Fuga de Datos - Impacto

Robo de identidad o fraude financiero.

✅ Ejemplo de pruebas en una página web:

🔹 Pentesting (Pruebas de penetración): Simular ataques para evaluar vulnerabilidades.

🔹 Escaneo de seguridad: Usar herramientas como OWASP ZAP o Burp Suite.

🔹 Monitoreo continuo: Registrar actividades sospechosas con herramientas como SIEM.

1️⃣ Construcción segura 🏗️

2️⃣ Verificación de seguridad 🔎

3️⃣ Validación de seguridad ✅

🔍 Ejemplo en una página web:

✔️ Revisar que las consultas SQL estén preparadas para evitar inyección SQL.

✔️ Validar que todas las entradas de usuario sean sanitizadas para prevenir XSS.

✔️ Asegurar que las contraseñas se almacenen con algoritmos de hashing seguro (bcrypt, Argon2).

💡 Herramientas útiles:

🔹 GitHub Code Scanning

🔹 SonarQube

🔹 Checkmarx

📌 SAST (Static Application Security Testing)

🔹 Analiza el código fuente sin ejecutarlo.

🔹 Detecta problemas como fugas de datos y errores de configuración.

🔹 Se usa en la fase de desarrollo.

💡 Herramientas:

✔ SonarQube

✔ Checkmarx

📌 DAST (Dynamic Application Security Testing)

🔹 Evalúa la aplicación en tiempo de ejecución.

🔹 Simula ataques como inyección SQL o XSS.

🔹 Se usa en la fase de pruebas o producción.

💡 Herramientas:

✔ OWASP ZAP

✔ Burp Suite

💡 Tipos de Pentesting:

🔹 Caja negra: El pentester no tiene acceso al código y prueba como un atacante externo.

🔹 Caja blanca: Se tiene acceso al código y la infraestructura del sistema.

🔹 Caja gris: Se combinan elementos de los dos anteriores.

💡 Herramientas usadas en Pentesting:

✔ Metasploit

✔ Kali Linux

✔ OWASP ZAP

2️⃣ Definir los actores de amenazas

3️⃣ Analizar las vulnerabilidades

4️⃣ Evaluar el impacto y la probabilidad de ataque

5️⃣ Implementar medidas de mitigación