Microsoft SDL Core

Día 1

Seguridad de la TI y codificación segura

• Naturaleza de la seguridad.
• Términos relacionados con la seguridad de la TI.
• Definición de riesgo.
• Diferentes aspectos de la seguridad de la TI.
• Requisitos de diferentes áreas de aplicación.
• Seguridad de la TI frente a codificación segura.
• De las vulnerabilidades a las botnets y la delincuencia informática.
  • Naturaleza de los defectos de seguridad.
  • Razones de dificultad.
  • De un equipo infectado a ataques dirigidos.
• Clasificación de defectos de seguridad.
  • Taxonomía de Landwehr.
  • Los siete reinos perniciosos.
  • Las diez vulnerabilidades más críticas de OWASP 2013.
  • Comparación de las Top Ten de OWASP entre 2003 y 2013.

Introducción al Ciclo de Desarrollo Seguro (SDL) de Microsoft®

• Programa.
• Aplicaciones bajo ataque...
  • Evolución de la delincuencia informática.
  • Los ataques se están centrando en las aplicaciones.
  • La mayoría de las vulnerabilidades se encuentran en aplicaciones de ISV más pequeñas.
• Orígenes del SDL de Microsoft...
  • Línea temporal de seguridad en Microsoft...
  • ¿Qué aplicaciones deben seguir el SDL?
• Ciclo de Desarrollo Seguro (SDL) de Microsoft.
  • Ciclo de Desarrollo Seguro (SDL) de Microsoft.
  • Requisitos previos al SDL: Formación en seguridad.
  • Fase Uno: Requisitos.
  • Fase Dos: Diseño.
  • Fase Tres: Implementación.
  • Fase Cuatro: Verificación.
  • Fase Cinco: Lanzamiento – Plan de respuesta.
  • Fase Cinco: Lanzamiento – Revisión final de seguridad.
  • Fase Cinco: Lanzamiento – Archivo.
  • Requisito posterior al SDL: Respuesta.
  • Orientación del proceso SDL para aplicaciones de línea de negocio (LOB).
  • Orientación del SDL para metodologías ágiles.
  • El desarrollo seguro de software requiere mejora de procesos.

Principios de diseño seguro

• Superficie de ataque.
  • Reducción de la superficie de ataque.
  • Superficie de ataque – un ejemplo.
  • Análisis de la superficie de ataque.
  • Reducción de la superficie de ataque – ejemplos.
• Privacidad.
  • Privacidad.
  • Comprensión del comportamiento y las preocupaciones de la aplicación.
• Defensa en profundidad.
  • Principio fundamental del SDL: Defensa en profundidad.
  • Defensa en profundidad – ejemplo.
• Principio de privilegio mínimo.
  • Privilegio mínimo – ejemplo.
• Valores predeterminados seguros.
  • Valores predeterminados seguros – ejemplos.

Principios de implementación segura

• Programa.
• Ciclo de Desarrollo Seguro (SDL) de Microsoft.
• Conceptos básicos de desbordamiento de búfer.
  • Procesadores Intel 80x86 – registros principales.
  • Disposición del espacio de direcciones de memoria.
  • Mecanismo de llamada de funciones en C/C++ en x86.
  • Variables locales y el marco de pila (stack frame).
  • Desbordamiento de pila.
    • Desbordamiento de búfer en la pila.
    • Introducción a los ejercicios.
    • Ejercicio BOFIntro.
    • Ejercicio BOFIntro – determinar la disposición de la pila.
    • Ejercicio BOFIntro – un exploit sencillo.
• Validación de entradas.
  • Conceptos de validación de entradas.
  • Problemas con enteros.
    • Representación de enteros negativos.
    • Desbordamiento de enteros.
    • Desbordamiento aritmético – ¡adivina la salida!
    • Ejercicio IntOverflow.
    • ¿Cuál es el valor de Math.Abs(int.MinValue)?
  • Mitigación de problemas con enteros.
    • Mitigación de problemas con enteros.
    • Evitar el desbordamiento aritmético – suma.
    • Evitar el desbordamiento aritmético – multiplicación.
    • Detección de desbordamientos con la palabra clave checked en C#.
    • Ejercicio – Uso de la palabra clave checked en C#.
    • Excepciones provocadas por desbordamientos en C#.
  • Estudio de caso – Desbordamiento de enteros en .NET.
    • Una vulnerabilidad real de desbordamiento de enteros.
    • Explotando la vulnerabilidad de desbordamiento de enteros.
  • Vulnerabilidad de traversal de rutas.
    • Mitigación de la traversal de rutas.

Día 2

Principios de implementación segura

• Inyección.
  • Métodos típicos de ataque de inyección SQL.
  • Inyección SQL ciega y basada en tiempos.
  • Métodos de protección contra inyección SQL.
  • Inyección de comandos.
• Autenticación rota – gestión de contraseñas.
  • Ejercicio – Debilidad de las contraseñas hasheadas.
  • Gestión y almacenamiento de contraseñas.
  • Algoritmos de hash especiales para el almacenamiento de contraseñas.
• Cross-Site Scripting (XSS).
  • Cross-Site Scripting (XSS).
  • Inyección CSS.
  • Explotación: inyección a través de otras etiquetas HTML.
  • Prevención de XSS.
• Control de acceso por nivel de función inexistente.
  • Filtrado de cargas de archivos.
• Criptografía práctica.
  • Garantía de confidencialidad con criptografía simétrica.
  • Algoritmos de cifrado simétrico.
  • Cifrados por bloques – modos de operación.
  • Hash o resumen de mensaje.
  • Algoritmos de hash.
  • Código de autenticación de mensajes (MAC).
  • Garantía de integridad y autenticidad con una clave simétrica.
  • Garantía de confidencialidad con cifrado de clave pública.
  • Regla práctica – posesión de la clave privada.
  • Errores típicos en la gestión de contraseñas.
  • Ejercicio – Contraseñas codificadas.
  • Conclusión.

Principios de verificación segura

• Pruebas funcionales frente a pruebas de seguridad.
• Vulnerabilidades de seguridad.
• Priorización.
• Pruebas de seguridad en el SDLC.
• Pasos de la planificación de pruebas (análisis de riesgos).
• Delimitación y recopilación de información.
  • Partes interesadas.
  • Activos.
  • La superficie de ataque.
  • Objetivos de seguridad para las pruebas.
• Modelado de amenazas.
  • Modelado de amenazas.
  • Perfiles de atacante.
  • Modelado de amenazas basado en árboles de ataque.
  • Modelado de amenazas basado en casos de uso indebido/abuso.
  • Casos de uso indebido/abuso – ejemplo sencillo de tienda web.
  • Enfoque STRIDE por elemento para el modelado de amenazas – MS SDL.
  • Identificación de objetivos de seguridad.
  • Diagramación – ejemplos de elementos DFD.
  • Diagrama de flujos de datos (DFD) – ejemplo.
  • Enumeración de amenazas – STRIDE y elementos DFD de MS SDL.
  • Análisis de riesgos – clasificación de amenazas.
  • El modelo de clasificación de amenazas/riesgos DREAD.
• Técnicas y herramientas de pruebas de seguridad.
  • Enfoques generales de prueba.
  • Técnicas para las diversas etapas del SDLC.
• Revisión de código.
  • Revisión de código para la seguridad del software.
  • Análisis de taint (mancha).
  • Heurística.
• Análisis estático de código.
  • Análisis estático de código.
  • Ejercicio – Uso de herramientas de análisis estático de código.
• Prueba de la implementación.
  • Verificación manual en tiempo de ejecución.
  • Pruebas de seguridad manuales frente a automatizadas.
  • Pruebas de penetración.
  • Pruebas de estrés.
• Fuzzing (pruebas de caos).
  • Pruebas automáticas de seguridad - fuzzing.
  • Desafíos del fuzzing.
• Escáneres de vulnerabilidades web.
  • Ejercicio – Uso de un escáner de vulnerabilidades.
• Verificación y endurecimiento del entorno.
  • Sistema común de puntuación de vulnerabilidades (CVSS).
  • Escáneres de vulnerabilidades.
  • Bases de datos públicas.
• Estudio de caso – Elusión de la autenticación de formularios.
  • Vulnerabilidad de terminación de byte nulo (NULL byte).
  • La vulnerabilidad de elusión de la autenticación de formularios en el código.
  • Explotando la elusión de la autenticación de formularios.

Fuentes de conocimiento

• Fuentes de codificación segura – un kit inicial.
• Bases de datos de vulnerabilidades.
• Directrices de codificación segura de .NET en MSDN.
• Listas de comprobación (cheat sheets) de codificación segura de .NET.
• Libros recomendados – .NET y ASP.NET.