Fortaleza Digital: Construyendo Seguridad desde la Base del Software by Sanchez Albarracin John Fredy https://padlet.com/johnsanchezal/wysn03ph9w5tau0e Este muro digital es un espacio interactivo dedicado a explorar la seguridad del software. en-us 2023-10-03 01:56:31 UTC 2023-10-03 04:42:07 UTC hello@padlet.com https://blog.cronapp.io/wp-content/uploads/2021/09/curso-cloud-computing.jpeg ¿Cómo implementar un software seguro a través de la identificación y comprensión de los riesgos? johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729545006 En el análisis de riesgos, se lleva a cabo un examen minucioso de posibles amenazas y vulnerabilidades que podrían comprometer la seguridad del software. Se pueden emplear técnicas como el Modelo de Amenazas y la Evaluación de Riesgos para comprender los escenarios de amenazas y sus posibles impactos.

En cuanto a la definición de requisitos de seguridad, se basa en el análisis de riesgos previamente realizado para establecer los criterios de seguridad que el software debe cumplir. Esto abarca aspectos como autenticación, autorización, cifrado de datos y prevención de ataques de inyección, entre otros. Estos requisitos proporcionan una base sólida para el desarrollo seguro del software.

En el diseño seguro, se asegura que el enfoque esté orientado hacia la seguridad. Esto implica la aplicación de buenas prácticas de diseño seguro, como la segregación de privilegios, la adhesión al principio de mínimo privilegio y la validación de entradas. También se considera la adopción de patrones de diseño seguros y la implementación de controles de seguridad adecuados.

Durante el desarrollo seguro, se sigue una serie de mejores prácticas de seguridad de código. Estas incluyen la validación de entradas, la protección contra ataques de inyección (como SQL injection o XSS), la selección de bibliotecas y componentes seguros, así como pruebas de seguridad continuas.

Las pruebas de seguridad desempeñan un papel crucial al realizar pruebas exhaustivas para identificar cualquier vulnerabilidad o debilidad en el software. Esto abarca pruebas de penetración, análisis estático de código, análisis dinámico de aplicaciones, entre otras técnicas. Cualquier problema detectado se corrige, y se realizan pruebas adicionales para garantizar su resolución adecuada.

Para mantener la seguridad con el tiempo, es esencial mantener el software actualizado con las últimas actualizaciones y parches de seguridad disponibles. Esto garantiza que el software esté protegido contra nuevas vulnerabilidades y amenazas que puedan surgir con el tiempo.
 
Fomentar la educación y la conciencia de seguridad es fundamental. Esto implica la capacitación de los desarrolladores en prácticas de seguridad de software y la promoción de la conciencia de seguridad en todas las etapas del ciclo de vida del desarrollo de software. Una cultura de seguridad sólida contribuye significativamente a la protección del software contra amenazas y vulnerabilidades.



]]> 2023-10-03 02:51:04 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729545006 ¿En qué procesos y actividades se centra la implementación de un software seguro? johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729559532 La implementación de un software seguro se centra en varios procesos y actividades a lo largo del ciclo de vida del desarrollo de software. Estas son las principales áreas de enfoque:
 
Análisis de Riesgos: Al comienzo del proceso, se realiza un análisis exhaustivo de riesgos para identificar amenazas y vulnerabilidades potenciales.

Definición de Requisitos de Seguridad: Basado en el análisis de riesgos, se establecen requisitos de seguridad que el software debe cumplir.

Diseño Seguro: Se asegura que el diseño del software esté orientado hacia la seguridad, aplicando buenas prácticas y considerando la separación de privilegios, entre otros aspectos.

Desarrollo Seguro: Durante la fase de desarrollo, se siguen prácticas seguras de codificación, como la validación de entradas y la prevención de ataques de inyección.

Pruebas de Seguridad: Se realizan pruebas exhaustivas de seguridad, que pueden incluir pruebas de penetración, análisis estático y dinámico de código, y análisis de vulnerabilidades.

Actualizaciones y Parches: Se mantienen actualizaciones y parches para proteger el software contra nuevas amenazas y vulnerabilidades.

Educación y Concienciación: Se fomenta la educación en seguridad y la concienciación en el equipo de desarrollo para promover una cultura de seguridad.

Gestión de Incidentes de Seguridad: Se prepara un plan de respuesta a incidentes para actuar rápidamente en caso de una brecha de seguridad.

Auditorías de Seguridad: Se realizan auditorías de seguridad periódicas para evaluar el estado de la seguridad y garantizar el cumplimiento de políticas de seguridad.

Documentación: Se mantiene un registro detallado de las decisiones de seguridad, las mitigaciones implementadas y las pruebas realizadas para la rendición de cuentas y la mejora continua.

]]> 2023-10-03 03:06:10 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729559532 Referencias johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729572802 Hernández Bejarno, M. (2020). Ciclo de vida de desarrollo ágil de software seguro.. Fundación Universitaria Los Libertadores. https://elibro.net/es/lc/uniminuto/titulos/197008

McGraw, G. (2006). Software Security: Building Security. Addison-Wesley.

Ortega Candel, J. M. (2018). Seguridad en aplicaciones Web Java.. RA-MA Editorial. https://elibro.net/es/lc/uniminuto/titulos/106511

Scrum Manager. (s. fi). El manifiesto a’gil. Obtenido de http://www.scrummanager.net/bok/index. php?tit1e=E1_manifiesto_°Á.C3%A1gil




]]> 2023-10-03 03:20:51 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729572802 El desarrollo ágil en el software johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729573898 Principios del manifestó ágil Hernández (2020)]]> 2023-10-03 03:22:24 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729573898 El desarrollo ágil en el software johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729575828 Valores del manifestó ágil Hernández (2020)]]> 2023-10-03 03:25:04 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729575828 El manifestó ágil johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729598657 El manifestó ágil (Scrum Manager, s. f.) tiene como objetivo proporcionar un conjunto de valores y principios que permiten el desarrollo de software de calidad, de manera rápida, adaptable a los requisitos cambiantes de los usuarios. El manifestó ágil está estructurado en cuatro valores y doce principios]]> 2023-10-03 03:55:41 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729598657 Ciclos de vida de desarrollo de software seguro johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729603306 Gary McGraw (2006) propone siete puntos clave en el desarrollo de software seguro, basados en el modelo de Gary McGraw y Cigital del Instituto de Ingeniería Eléctrica y Electrónica (IEEE, por sus siglas en inglés), que integra aspectos técnicos y prácticos. Estos puntos incluyen la revisión del código, análisis de riesgos de arquitectura, pruebas de penetración, pruebas de seguridad basadas en el riesgo, construcción de casos de abuso, requisitos de seguridad y operaciones de seguridad. También destaca la importancia de la revisión externa como evaluación imparcial realizada por personal externo al proyecto. Estas prácticas aseguran la resistencia del software a amenazas. Hernández Bejarno, M. (2020). ]]> 2023-10-03 04:02:15 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729603306 Metodologías de desarrollo de software seguro johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729610765 El desarrollo de software implica un ciclo de vida con diferentes fases y enfoques según el paradigma. Algunos modelos se centran en la seguridad. Estos son algunos modelos para resaltar por sus características.

- McGraw’s Seven Touchpoints 
- Microsoft Security Development Lifecycle (SDL)
- Correctness by Construction (CbyC)
- Comprehensive, Lightweight Application Security Process (CLASP)
- Software Assurance Maturity Model 
- Team Software Process (TSP)
Hernández Bejarno, M. (2020). ]]> 2023-10-03 04:13:17 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729610765 Buenas prácticas johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729624243 Las organizaciones enfrentan diversos riesgos y amenazas en la actualidad, y el desarrollo de software está expuesto a numerosas vulnerabilidades informáticas. se destacan los siguientes estándares:

  • Iso 27001
Es un estándar internacional para la gestión de la seguridad de la información. Ayuda a las organizaciones a proteger su información y gestionar riesgos de seguridad de manera efectiva.

  • Common Criteria (CC) 
Es un estándar global para evaluar y certificar la seguridad de productos de tecnología de la información, como firewalls y sistemas seguros. Ayuda a los usuarios a tomar decisiones informadas sobre la seguridad de los productos que utilizan.

]]> 2023-10-03 04:32:09 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729624243 OWASP johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729628874 "Open Web Application Security Project" (Proyecto Abierto de Seguridad en Aplicaciones Web, en español), es una comunidad global de expertos en seguridad informática que se dedica a identificar y abordar las principales vulnerabilidades y amenazas de seguridad en aplicaciones web. 

El objetivo principal de OWASP es mejorar la seguridad de las aplicaciones web en todo el mundo. Para lograr esto, OWASP ofrece recursos, herramientas, pautas y proyectos de código abierto que ayudan a las organizaciones y desarrolladores a construir y mantener aplicaciones web seguras. Estos recursos incluyen listas de las vulnerabilidades de seguridad más comunes, guías de buenas prácticas, herramientas de escaneo de seguridad y proyectos de código abierto para pruebas y mitigación de vulnerabilidades.  Ortega. (2018)]]> 2023-10-03 04:38:32 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729628874 "TOP TEN" OWASP johnsanchezal https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729631334
  • Inyección de Código: Esto ocurre cuando datos no confiables ingresan a una aplicación web y se ejecutan como código. Ejemplos incluyen la inyección SQL y la inyección de comandos.
  • Autenticación Rota: Se refiere a la falta de medidas adecuadas de autenticación y gestión de sesiones, lo que puede llevar a la suplantación de identidad y accesos no autorizados.
  • Exposición de Datos Sensibles: Cuando la aplicación revela información sensible, como contraseñas o datos personales, de manera inadvertida o mal protegida.
  • XML External Entity (XXE) Attack: Esta vulnerabilidad se produce cuando una aplicación procesa XML no confiable, lo que puede dar lugar a ataques de lectura de archivos o ataques de denegación de servicio.
  • Broken Access Control: Ocurre cuando los controles de acceso y autorización son deficientes, permitiendo a los usuarios no autorizados acceder a funciones o datos sensibles.
  • Seguridad de Configuración Insegura: Esto se refiere a la falta de configuración segura en servidores, bases de datos y otros componentes, lo que podría exponer información sensible o abrir puertas a ataques.
  • Cross-Site Scripting (XSS): Los ataques XSS ocurren cuando una aplicación web permite que scripts no confiables se ejecuten en el navegador del usuario, lo que puede resultar en ataques de robo de sesiones y otros riesgos.
  • Deserialización Insegura: Este problema surge cuando una aplicación deserializa datos no confiables, lo que puede llevar a ataques de ejecución de código no deseado.
  • Usos de Componentes con Vulnerabilidades Conocidas: Sucede cuando una aplicación utiliza componentes o bibliotecas con vulnerabilidades conocidas, lo que facilita a los atacantes explotar esas debilidades.
  • Falta de Registro y Monitoreo: La falta de registros de seguridad y monitoreo adecuado dificulta la detección oportuna de amenazas y ataques.

    • ]]>     2023-10-03 04:42:07 UTC https://padlet.com/johnsanchezal/wysn03ph9w5tau0e/wish/2729631334