Microsoft SDL Core

Día 1

Seguridad de TI y codificación segura

• Naturaleza de la seguridad
• Términos relacionados con la seguridad de TI
• Definición de riesgo
• Diferentes aspectos de la seguridad de TI
• Requisitos de diferentes áreas de aplicaciones
• Seguridad de TI vs. codificación segura
• De las vulnerabilidades a las botnets y el cibercrimen
  • Naturaleza de los defectos de seguridad
  • Razones de la dificultad
  • De un computador infectado a ataques dirigidos
• Clasificación de los defectos de seguridad
  • Taxonomía de Landwehr
  • Los Siete Reinos Perniciosos
  • OWASP Top Ten 2013
  • Comparación OWASP Top Ten 2003 – 2013

Introducción al Ciclo de Vida de Desarrollo Seguro de Microsoft® (SDL)

• Agenda
• Aplicaciones bajo ataque...
  • Evolución del cibercrimen
  • Los ataques se centran en las aplicaciones
  • La mayoría de las vulnerabilidades están en aplicaciones ISV más pequeñas
• Orígenes del SDL de Microsoft...
  • Cronología de seguridad en Microsoft...
  • ¿Qué aplicaciones están obligadas a seguir el SDL?
• Ciclo de Vida de Desarrollo Seguro de Microsoft (SDL)
  • Ciclo de Vida de Desarrollo Seguro de Microsoft (SDL)
  • Requisitos previos al SDL: Capacitación en Seguridad
  • Fase Uno: Requisitos
  • Fase Dos: Diseño
  • Fase Tres: Implementación
  • Fase Cuatro: Verificación
  • Fase Cinco: Lanzamiento – Plan de Respuesta
  • Fase Cinco: Lanzamiento – Revisión Final de Seguridad
  • Fase Cinco: Lanzamiento – Archivo
  • Requisito posterior al SDL: Respuesta
  • Guía de Proceso SDL para Aplicaciones LOB
  • Guía SDL para Metodologías Ágiles
  • El desarrollo de software seguro requiere mejora de procesos

Principios de diseño seguro

• Superficie de ataque
  • Reducción de la superficie de ataque
  • Superficie de ataque – un ejemplo
  • Análisis de la superficie de ataque
  • Reducción de la superficie de ataque – ejemplos
• Privacidad
  • Privacidad
  • Comprensión de los comportamientos y preocupaciones de la aplicación
• Defensa en profundidad
  • Principio núcleo de SDL: Defensa en Profundidad
  • Defensa en profundidad – ejemplo
• Principio de menor privilegio
  • Menor privilegio – ejemplo
• Configuraciones predeterminadas seguras
  • Configuraciones predeterminadas seguras – ejemplos

Principios de implementación segura

• Agenda
• Ciclo de Vida de Desarrollo Seguro de Microsoft (SDL)
• Fundamentos del desbordamiento de búfer
  • Procesadores Intel 80x86 – registros principales
  • El diseño de direcciones de memoria
  • El mecanismo de llamadas a funciones en C/C++ en x86
  • Las variables locales y el marco de pila
  • Desbordamiento de pila
    • Desbordamiento de búfer en la pila
    • Ejercicios – introducción
    • Ejercicio BOFIntro
    • Ejercicio BOFIntro – determinar el diseño de la pila
    • Ejercicio BOFIntro – una explotación simple
• Validación de entrada
  • Conceptos de validación de entrada
  • Problemas de enteros
    • Representación de enteros negativos
    • Desbordamiento de enteros
    • Desbordamiento aritmético – ¡adivina la salida!
    • Ejercicio IntOverflow
    • ¿Cuál es el valor de Math.Abs(int.MinValue)?
  • Mitigación de problemas de enteros
    • Mitigación de problemas de enteros
    • Evitar el desbordamiento aritmético – suma
    • Evitar el desbordamiento aritmético – multiplicación
    • Detectar desbordamientos con la palabra clave checked en C#
    • Ejercicio – Uso de la palabra clave checked en C#
    • Excepciones provocadas por desbordamientos en C#
  • Estudio de caso – Desbordamiento de enteros en .NET
    • Una vulnerabilidad de desbordamiento de enteros del mundo real
    • Explotación de la vulnerabilidad de desbordamiento de enteros
  • Vulnerabilidad de recorrido de rutas (Path traversal)
    • Mitigación del recorrido de rutas

Día 2

Principios de implementación segura

• Inyección
  • Métodos típicos de ataque de Inyección SQL
  • Inyección SQL ciega y basada en tiempo
  • Métodos de protección contra Inyección SQL
  • Inyección de comandos
• Autenticación rota - gestión de contraseñas
  • Ejercicio – Debilidad de las contraseñas hasheadas
  • Gestión y almacenamiento de contraseñas
  • Algoritmos de hash de propósito especial para el almacenamiento de contraseñas
• Cross-Site Scripting (XSS)
  • Cross-Site Scripting (XSS)
  • Inyección de CSS
  • Explotación: inyección a través de otras etiquetas HTML
  • Prevención de XSS
• Falta de control de acceso a nivel de función
  • Filtrado de cargas de archivos
• Criptografía práctica
  • Proporcionar confidencialidad con criptografía simétrica
  • Algoritmos de cifrado simétrico
  • Cifradores de bloque – modos de operación
  • Hash o resumen de mensaje
  • Algoritmos de hash
  • Código de Autenticación de Mensajes (MAC)
  • Proporcionar integridad y autenticidad con una clave simétrica
  • Proporcionar confidencialidad con cifrado de clave pública
  • Regla general – posesión de la clave privada
  • Errores típicos en la gestión de contraseñas
  • Ejercicio – Contraseñas codificadas en duro
  • Conclusión

Principios de verificación segura

• Pruebas funcionales vs. pruebas de seguridad
• Vulnerabilidades de seguridad
• Priorización
• Pruebas de seguridad en el SDLC
• Pasos del plan de pruebas (análisis de riesgos)
• Alcance y recopilación de información
  • Partes interesadas
  • Activos
  • La superficie de ataque
  • Objetivos de seguridad para pruebas
• Modelado de amenazas
  • Modelado de amenazas
  • Perfiles de atacantes
  • Modelado de amenazas basado en árboles de ataque
  • Modelado de amenazas basado en casos de abuso/uso indebido
  • Casos de abuso/uso indebido – un ejemplo simple de tienda web
  • Enfoque STRIDE por elemento para el modelado de amenazas – MS SDL
  • Identificación de objetivos de seguridad
  • Diagramas – ejemplos de elementos de DFD
  • Diagrama de flujo de datos – ejemplo
  • Enumeración de amenazas – STRIDE de MS SDL y elementos de DFD
  • Análisis de riesgos – clasificación de amenazas
  • El modelo de clasificación de amenaza/riesgo DREAD
• Técnicas y herramientas de pruebas de seguridad
  • Enfoques generales de pruebas
  • Técnicas para los diferentes pasos del SDLC
• Revisión de código
  • Revisión de código para la seguridad del software
  • Análisis de tinción (Taint analysis)
  • Heurísticas
• Análisis estático de código
  • Análisis estático de código
  • Ejercicio – Uso de herramientas de análisis estático de código
• Pruebas de la implementación
  • Verificación en tiempo de ejecución manual
  • Pruebas de seguridad manuales vs. automatizadas
  • Pruebas de penetración
  • Pruebas de estrés
• Fuzzing
  • Pruebas de seguridad automatizadas - fuzzing
  • Desafíos del fuzzing
• Escáneres de vulnerabilidades web
  • Ejercicio – Uso de un escáner de vulnerabilidades
• Verificación y endurecimiento del entorno
  • Sistema de Puntuación de Vulnerabilidades Comunes – CVSS
  • Escáneres de vulnerabilidades
  • Bases de datos públicas
• Estudio de caso – Evasión de Autenticación de Formularios
  • Vulnerabilidad de terminación con byte NULL
  • La vulnerabilidad de Evasión de Autenticación de Formularios en el código
  • Explotación de la Evasión de Autenticación de Formularios

Fuentes de conocimiento

• Fuentes de codificación segura – kit de inicio
• Bases de datos de vulnerabilidades
• Pautas de codificación segura de .NET en MSDN
• Hojas de trucos de codificación segura de .NET
• Libros recomendados – .NET y ASP.NET