Microsoft SDL Core

Día 1

Seguridad informática y codificación segura

• Naturaleza de la seguridad
• Términos relacionados con la seguridad informática
• Definición de riesgo
• Diferentes aspectos de la seguridad informática
• Requisitos de diferentes áreas de aplicación
• Seguridad informática frente a codificación segura
• De las vulnerabilidades a las botnets y el ciberdelito.
  • Naturaleza de los fallos de seguridad
  • Razones de la dificultad
  • Desde un ordenador infectado hasta ataques dirigidos
• Clasificación de los fallos de seguridad.
  • Taxonomía de Landwehr
  • Los siete reinos perniciosos
  • OWASP Top Ten 2013
  • Comparativa de OWASP Top Ten 2003 – 2013

Introducción al Ciclo de Desarrollo Seguro (SDL) de Microsoft®

• Agenda
• Aplicaciones bajo ataque...
  • Evolución del ciberdelito
  • Los ataques se centran en las aplicaciones.
  • La mayoría de las vulnerabilidades están en pequeñas aplicaciones de ISV.
• Orígenes del SDL de Microsoft...
  • Línea temporal de seguridad en Microsoft...
  • ¿Qué aplicaciones deben seguir el SDL?
• Ciclo de Desarrollo Seguro (SDL) de Microsoft
  • Ciclo de Desarrollo Seguro (SDL) de Microsoft
  • Requisitos previos al SDL: Formación en seguridad
  • Fase Uno: Requisitos
  • Fase Dos: Diseño
  • Fase Tres: Implementación
  • Fase Cuatro: Verificación
  • Fase Cinco: Lanzamiento – Plan de respuesta
  • Fase Cinco: Lanzamiento – Revisión de seguridad final
  • Fase Cinco: Lanzamiento – Archivo
  • Requisito posterior al SDL: Respuesta
  • Orientación del proceso SDL para aplicaciones LOB
  • Orientación de SDL para metodologías ágiles.
  • El desarrollo seguro de software requiere una mejora del proceso.

Principios de diseño seguro

• Superficie de ataque.
  • Reducción de la superficie de ataque.
  • Superficie de ataque – un ejemplo.
  • Análisis de la superficie de ataque.
  • Reducción de la superficie de ataque – ejemplos.
• Privacidad
  • Privacidad.
  • Comprensión de comportamientos y preocupaciones de la aplicación.
• Defensa en profundidad.
  • Principio fundamental de SDL: Defensa en Profundidad
  • Defensa en profundidad – ejemplo.
• Principio de privilegio mínimo.
  • Privilegio mínimo – ejemplo.
• Valores predeterminados seguros
  • Valores predeterminados seguros – ejemplos.

Principios de implementación segura

• Agenda.
• Ciclo de Desarrollo Seguro (SDL) de Microsoft.
• Conceptos básicos de desbordamiento de búfer.
  • Procesadores Intel 80x86 – registros principales
  • Disposición de la dirección de memoria.
  • El mecanismo de llamada a funciones en C/C++ en x86
  • Las variables locales y el marco de pila (stack frame)
  • Desbordamiento de pila.
    • Desbordamiento de búfer en la pila
    • Introducción a los ejercicios.
    • Ejercicio BOFIntro
    • Ejercicio BOFIntro – determinar la disposición de la pila.
    • Ejercicio BOFIntro – un exploit sencillo.
• Validación de entrada.
  • Conceptos de validación de entrada.
  • Problemas con números enteros.
    • Representación de enteros negativos.
    • Desbordamiento de enteros.
    • Desbordamiento aritmético – ¡adivina la salida!
    • Ejercicio IntOverflow
    • ¿Cuál es el valor de Math.Abs(int.MinValue)?
  • Mitigación de problemas con enteros.
    • Mitigación de problemas con enteros.
    • Evitar desbordamiento aritmético – suma.
    • Evitar desbordamiento aritmético – multiplicación.
    • Detección de desbordamiento con la palabra clave checked en C#.
    • Ejercicio – Uso de la palabra clave checked en C#.
    • Excepciones provocadas por desbordamientos en C#.
  • Estudio de caso – Desbordamiento de enteros en .NET.
    • Una vulnerabilidad real de desbordamiento de enteros.
    • Explotación de la vulnerabilidad de desbordamiento de enteros.
  • Vulnerabilidad de recorrido de ruta.
    • Mitigación del recorrido de ruta.

Día 2

Principios de implementación segura.

• Inyección.
  • Métodos típicos de ataque de inyección SQL.
  • Inyección SQL ciega y basada en tiempo.
  • Métodos de protección contra inyección SQL.
  • Inyección de comandos.
• Autenticación fallida – gestión de contraseñas.
  • Ejercicio – Debilidad de las contraseñas con hash.
  • Gestión y almacenamiento de contraseñas.
  • Algoritmos hash de propósito especial para el almacenamiento de contraseñas.
• Scripting entre sitios (XSS).
  • Scripting entre sitios (XSS).
  • Inyección CSS.
  • Explotación: inyección a través de otras etiquetas HTML.
  • Prevención de XSS.
• Control de acceso a nivel de función inexistente.
  • Filtrado de cargas de archivos.
• Criptografía práctica.
  • Proporcionar confidencialidad con criptografía simétrica.
  • Algoritmos de cifrado simétrico.
  • Cifrados de bloques – modos de operación.
  • Hash o resumen de mensaje.
  • Algoritmos hash.
  • Código de autenticación de mensajes (MAC).
  • Proporcionar integridad y autenticidad con una clave simétrica.
  • Proporcionar confidencialidad con cifrado de clave pública.
  • Regla general – posesión de la clave privada.
  • Errores típicos en la gestión de contraseñas.
  • Ejercicio – Contraseñas codificadas en el código.
  • Conclusión.

Principios de verificación segura.

• Pruebas funcionales frente a pruebas de seguridad.
• Vulnerabilidades de seguridad.
• Priorización.
• Pruebas de seguridad en el ciclo de desarrollo (SDLC).
• Pasos de planificación de las pruebas (análisis de riesgos).
• Delimitación y recopilación de información.
  • Partes interesadas.
  • Activos.
  • La superficie de ataque.
  • Objetivos de seguridad para las pruebas.
• Modelado de amenazas.
  • Modelado de amenazas.
  • Perfiles de atacante.
  • Modelado de amenazas basado en árboles de ataque.
  • Modelado de amenazas basado en casos de uso indebido/abuso.
  • Casos de uso indebido/abuso – un ejemplo sencillo de tienda web.
  • Enfoque STRIDE por elemento para el modelado de amenazas – MS SDL.
  • Identificación de objetivos de seguridad.
  • Diagramación – ejemplos de elementos DFD.
  • Diagrama de flujo de datos – ejemplo.
  • Enumeración de amenazas – STRIDE de MS SDL y elementos DFD.
  • Análisis de riesgos – clasificación de amenazas.
  • El modelo de ranking de amenazas/riesgos DREAD.
• Técnicas y herramientas de pruebas de seguridad.
  • Enfoques generales de prueba.
  • Técnicas para las diversas fases del SDLC.
• Revisión de código.
  • Revisión de código para la seguridad del software.
  • Análisis de tainting (contaminación).
  • Heurísticas.
• Análisis estático de código.
  • Análisis estático de código.
  • Ejercicio – Uso de herramientas de análisis estático de código.
• Pruebas de la implementación.
  • Verificación manual en tiempo de ejecución.
  • Pruebas de seguridad manuales frente a automáticas.
  • Pruebas de penetración.
  • Pruebas de estrés.
• Fuzzing (prueba desbordante).
  • Pruebas de seguridad automatizadas: fuzzing.
  • Desafíos del fuzzing.
• Escáneres de vulnerabilidades web.
  • Ejercicio – Uso de un escáner de vulnerabilidades.
• Comprobación y endurecimiento del entorno.
  • Sistema Común de Puntuación de Vulnerabilidades – CVSS.
  • Escáneres de vulnerabilidades.
  • Bases de datos públicas.
• Estudio de caso – Elusión de la autenticación de formularios (Forms Authentication).
  • Vulnerabilidad de terminación de byte nulo.
  • La vulnerabilidad de elusión de la autenticación de formularios en el código.
  • Explotación de la elusión de la autenticación de formularios.

Fuentes de conocimiento.

• Fuentes de codificación segura – un kit de inicio.
• Bases de datos de vulnerabilidades.
• Directrices de codificación segura de .NET en MSDN.
• Hojas de referencia de codificación segura de .NET.
• Libros recomendados – .NET y ASP.NET.