Microsoft SDL Core

Día 1

Seguridad de TI y codificación segura

• Naturaleza de la seguridad.
• Términos relacionados con la seguridad de TI.
• Definición de riesgo.
• Diferentes aspectos de la seguridad de TI.
• Requisitos de diferentes áreas de aplicación.
• Seguridad de TI vs. codificación segura.
• De las vulnerabilidades a los botnets y la ciberdelincuencia.
  • Naturaleza de los fallos de seguridad.
  • Razones de la dificultad.
  • Desde una computadora infectada hasta ataques dirigidos.
• Clasificación de los fallos de seguridad.
  • Taxonomía de Landwehr.
  • Los siete reinos perniciosos.
  • OWASP Top Ten 2013.
  • Comparación de OWASP Top Ten 2003 – 2013.

Introducción al Ciclo de Vida del Desarrollo Seguro (SDL) de Microsoft®

• Agenda.
• Aplicaciones bajo ataque...
  • Evolución de la ciberdelincuencia.
  • Los ataques se centran en las aplicaciones.
  • La mayoría de las vulnerabilidades están en aplicaciones pequeñas de ISV (Independent Software Vendor).
• Orígenes del SDL de Microsoft...
  • Cronología de la seguridad en Microsoft...
  • ¿Qué aplicaciones deben seguir el SDL?
• Ciclo de Vida del Desarrollo Seguro (SDL) de Microsoft.
  • Ciclo de Vida del Desarrollo Seguro (SDL) de Microsoft.
  • Requisitos previos al SDL: Formación en seguridad.
  • Fase Uno: Requisitos.
  • Fase Dos: Diseño.
  • Fase Tres: Implementación.
  • Fase Cuatro: Verificación.
  • Fase Cinco: Lanzamiento – Plan de respuesta.
  • Fase Cinco: Lanzamiento – Revisión final de seguridad.
  • Fase Cinco: Lanzamiento – Archivo.
  • Requisito posterior al SDL: Respuesta.
  • Orientación del proceso de SDL para aplicaciones LOB (Line of Business).
  • Orientación de SDL para metodologías ágiles.
  • El desarrollo seguro de software requiere mejora de procesos.

Principios de diseño seguro

• Superficie de ataque.
  • Reducción de la superficie de ataque.
  • Superficie de ataque – un ejemplo.
  • Análisis de la superficie de ataque.
  • Reducción de la superficie de ataque – ejemplos.
• Privacidad.
  • Privacidad.
  • Comprensión de los comportamientos y preocupaciones de la aplicación.
• Defensa en profundidad.
  • Principio fundamental del SDL: Defensa en profundidad.
  • Defensa en profundidad – ejemplo.
• Principio de privilegio mínimo.
  • Privilegio mínimo – ejemplo.
• Valores predeterminados seguros.
  • Valores predeterminados seguros – ejemplos.

Principios de implementación segura

• Agenda.
• Ciclo de Vida del Desarrollo Seguro (SDL) de Microsoft.
• Conceptos básicos del desbordamiento de búfer.
  • Procesadores Intel 80x86 – registros principales.
  • Disposición de la dirección de memoria.
  • Mecanismo de llamada de funciones en C/C++ en x86.
  • Variables locales y marco de pila.
  • Desbordamiento de pila.
    • Desbordamiento de búfer en la pila.
    • Introducción a los ejercicios.
    • Ejercicio BOFIntro.
    • Ejercicio BOFIntro – determinar la disposición de la pila.
    • Ejercicio BOFIntro – un exploit simple.
• Validación de entradas.
  • Conceptos de validación de entradas.
  • Problemas con enteros.
    • Representación de enteros negativos.
    • Desbordamiento de enteros.
    • Desbordamiento aritmético – ¡adivine la salida!
    • Ejercicio IntOverflow.
    • ¿Cuál es el valor de Math.Abs(int.MinValue)?
  • Mitigación de problemas con enteros.
    • Mitigación de problemas con enteros.
    • Evitar el desbordamiento aritmético – suma.
    • Evitar el desbordamiento aritmético – multiplicación.
    • Detectar desbordamientos con la palabra clave checked en C#.
    • Ejercicio – Uso de la palabra clave checked en C#.
    • Excepciones provocadas por desbordamientos en C#.
  • Estudio de caso – Desbordamiento de enteros en .NET.
    • Una vulnerabilidad real de desbordamiento de enteros.
    • Explotación de la vulnerabilidad de desbordamiento de enteros.
  • Vulnerabilidad de trayectoria de ruta (path traversal).
    • Mitigación de la trayectoria de ruta.

Día 2

Principios de implementación segura

• Inyección.
  • Métodos típicos de ataque de inyección SQL.
  • Inyección SQL ciega y basada en tiempo.
  • Métodos de protección contra inyección SQL.
  • Inyección de comandos.
• Autenticación defectuosa - gestión de contraseñas.
  • Ejercicio – Debilidad de las contraseñas hasheadas.
  • Gestión y almacenamiento de contraseñas.
  • Algoritmos de hash especializados para el almacenamiento de contraseñas.
• Scripting entre sitios (XSS).
  • Scripting entre sitios (XSS).
  • Inyección CSS.
  • Explotación: inyección a través de otras etiquetas HTML.
  • Prevención de XSS.
• Control de acceso faltante a nivel de función.
  • Filtrado de cargas de archivos.
• Criptografía práctica.
  • Proporcionar confidencialidad con criptografía simétrica.
  • Algoritmos de cifrado simétrico.
  • Cifrado de bloques – modos de operación.
  • Hash o resumen de mensaje.
  • Algoritmos de hash.
  • Código de Autenticación de Mensajes (MAC).
  • Proporcionar integridad y autenticidad con una clave simétrica.
  • Proporcionar confidencialidad con cifrado de clave pública.
  • Regla práctica – posesión de la clave privada.
  • Errores típicos en la gestión de contraseñas.
  • Ejercicio – Contraseñas codificadas.
  • Conclusión.

Principios de verificación segura

• Pruebas funcionales vs. pruebas de seguridad.
• Vulnerabilidades de seguridad.
• Priorización.
• Pruebas de seguridad en el ciclo de vida del desarrollo de software (SDLC).
• Pasos de la planificación de pruebas (análisis de riesgos).
• Delimitación y recopilación de información.
  • Partes interesadas.
  • Activos.
  • La superficie de ataque.
  • Objetivos de seguridad para las pruebas.
• Modelado de amenazas.
  • Modelado de amenazas.
  • Perfiles de atacantes.
  • Modelado de amenazas basado en árboles de ataque.
  • Modelado de amenazas basado en casos de uso indebido/abuso.
  • Casos de uso indebido/abuso – un ejemplo simple de tienda web.
  • Enfoque STRIDE por elemento para el modelado de amenazas – MS SDL.
  • Identificación de objetivos de seguridad.
  • Diagramación – ejemplos de elementos DFD.
  • Diagrama de flujo de datos – ejemplo.
  • Enumeración de amenazas – STRIDE de MS SDL y elementos DFD.
  • Análisis de riesgos – clasificación de amenazas.
  • El modelo de clasificación de amenazas/riesgos DREAD.
• Técnicas y herramientas de pruebas de seguridad.
  • Enfoques generales de prueba.
  • Técnicas para las diversas etapas del SDLC.
• Revisión de código.
  • Revisión de código para la seguridad del software.
  • Análisis de contaminación (Taint analysis).
  • Heurísticas.
• Análisis estático de código.
  • Análisis estático de código.
  • Ejercicio – Uso de herramientas de análisis estático de código.
• Prueba de la implementación.
  • Verificación manual en tiempo de ejecución.
  • Pruebas de seguridad manuales vs. automatizadas.
  • Pruebas de penetración.
  • Pruebas de estrés.
• Fuzzing (pruebas de desbordamiento aleatorio).
  • Pruebas de seguridad automatizadas – fuzzing.
  • Desafíos del fuzzing.
• Escáneres de vulnerabilidades web.
  • Ejercicio – Uso de un escáner de vulnerabilidades.
• Verificación y endurecimiento del entorno.
  • Sistema Común de Puntuación de Vulnerabilidades – CVSS.
  • Escáneres de vulnerabilidades.
  • Bases de datos públicas.
• Estudio de caso – Omisión de autenticación de formularios.
  • Vulnerabilidad de terminación con byte nulo.
  • La vulnerabilidad de omisión de autenticación de formularios en el código.
  • Explotación de la omisión de autenticación de formularios.

Fuentes de conocimiento

• Fuentes de codificación segura – un kit de inicio.
• Bases de datos de vulnerabilidades.
• Directrices de codificación segura para .NET en MSDN.
• Hojas de referencia de codificación segura para .NET.
• Libros recomendados – .NET y ASP.NET.