Scribd Logo
Cargar

¡Te damos la bienvenida a Scribd!

  • 90 vistas

    Owasp Suscerte PDF

    Cargado por

    ajom43

    Copyright:

    © All Rights Reserved
    Descargue como PDF, TXT o lea en línea desde Scribd

    Owasp Suscerte PDF

    Cargado por

    ajom43
    90 vistas22 páginas

    Título original

    OWASP_SUSCERTE.pdf

    Derechos de autor

    © © All Rights Reserved

    Formatos disponibles

    PDF, TXT o lea en línea desde Scribd

    ¿Le pareció útil este documento?

    ¿Este contenido es inapropiado?

    Copyright:

    © All Rights Reserved
    Descargue como PDF, TXT o lea en línea desde Scribd
    Descargar como pdf o txt
    90 vistas22 páginas

    Owasp Suscerte PDF

    Cargado por

    ajom43

    Copyright:

    © All Rights Reserved
    Descargue como PDF, TXT o lea en línea desde Scribd
    Descargar como pdf o txt
    Está en la página 1de 22

    OWASP Venezuela

    The OWASP Foundation


    http://www.owasp.org

    Chapter

    Pruebas de Seguridad en aplicaciones web


    segun OWASP
    Donde estamos... Hacia donde vamos?

    Edgar D. Salazar T
    OWASP Venezuela Chapter Leader
    [email protected]
    @3ddavid

    Copyright The OWASP Foundation


    Permission is granted to copy, distribute and/or modify this document under the terms of the OWASP License.

    Realidad o Ficcin

    Expectativas

    Controles
    Contexto

    Un sistema es seguro si cumple las expectativas


    en un contexto dado
    3
    3

    La Seguridad total no existe.

    4
    4

    El riesgo no puede eliminarse completamente,


    pero puede reducirse.

    5
    5

    OWASP Por que? Y Para quien?


    Desarrolladores de Software
    Testers de Software
    Especialistas de Seguridad

    Proyectos Documentales de
    OWASP

    Preguntas Frecuentes sobre Seguridad en Aplicaciones web (OWASP FAQ)

    Gua de Desarrollo Seguro (OWASP Development)

    Gua de Pruebas (OWASP Testing Guide)

    Guia de Revision de Codigo (OWASP Code Review)

    OWASP TOP-10 (Los 10 riesgos mas importantes en aplicaciones web)

    OWASP Seguridad Movil (OWASP mobile Security)

    Como detectar y responder en tiempo real los ataques a aplicaciones

    Estndar de Verificacin de Seguridad en Aplicaciones

    Entre muchos mas...

    Proyectos Software de OWASP

    WebScarab --> ZAP (The Zed Attack Proxy)

    Dirbuster

    DotNet

    ESAPI

    WebGoat

    Mantra Framework

    OWASP Live CD

    OWASP AntiSamy Java Project

    OWASP WAF

    Entre muchos mas...

    Pruebas de Seguridad segn


    OWASP
    El conjunto de prueba de OWASP se divide en 10 sub categoras las cuales
    se mencionan a continuacin:
    Recopilacin de Informacin
    Pruebas de gestin de la configuracin
    Pruebas de la lgica de negocio
    Pruebas de Autenticacin
    Pruebas de Autorizacin
    Pruebas de gestin de sesiones
    Pruebas de validacin de datos
    Pruebas de denegacin de Servicio
    Pruebas de Servicios Web
    Pruebas de AJAX

    Pruebas de Seguridad segn


    OWASP
    Recopilacin de Informacin
    La primera fase en la evaluacin de seguridad se centra en
    recoger tanta informacin como sea posible sobre una aplicacin
    objetivo. La recopilacin de informacin es un paso necesario en
    una prueba de intrusin. Esta tarea se puede llevar a cabo de
    muchas formas.
    Spiders, Robots, y Crawlers
    Reconocimiento mediante motores de
    Bsqueda
    Identificacin de puntos de entrada de la
    aplicacin

    Pruebas para encontrar firmas de


    Aplicaciones Web
    Descubrimiento de aplicaciones
    Anlisis de cdigos de error

    Pruebas de Seguridad segn


    OWASP
    Pruebas de Gestin de la Configuracin
    A menudo los anlisis sobre la infraestructura o la topologa de la
    arquitectura pueden revelar datos importantes sobre una
    aplicacin Web. Se pueden obtener datos como por ejemplo el
    cdigo fuente, los mtodos HTTP permitidos, funcionalidades
    administrativas, mtodos de autenticacin y configuraciones de la
    infraestructura.
    Pruebas de SSL/TLS
    Pruebas del receptor de escucha de la BD
    Pruebas de gestin de configuracin de la
    infraestructura
    Pruebas de gestin de configuracin de la
    aplicacin
    Gestin de extensiones de archivo

    Archivos antiguos, copias de seguridad


    y sin referencias
    Interfaces de administracin de la
    infraestructura y de la aplicacin
    Mtodos HTTP y XST

    Pruebas de Seguridad segn


    OWASP
    Comprobacin del Sistema de Autenticacin
    Autenticar un objeto puede significar confirmar su procedencia,
    mientras que autenticar a una persona consiste a menudo en
    verificar su identidad. La autenticacin depende de uno o ms
    factores de autenticacin. En seguridad informtica, autenticacin
    es el proceso de intentar verificar la identidad digital del remitente
    de una comunicacin.
    Transmisin de credenciales a travs de un canal
    cifrado
    Enumeracin de usuarios
    Pruebas de diccionario sobre cuentas de Usuario o
    cuentas predeterminadas
    Pruebas de Fuerza Bruta
    Saltarse el sistema de autenticacin
    Comprobar Sistemas de recordatorio/restauracin
    de contraseas vulnerables

    Comprobar Sistemas de
    recordatorio/restauracin de contraseas
    vulnerables
    Pruebas de gestin del Cach de Navegacin
    y de salida de sesin
    Pruebas de CAPTCHA
    Mltiples factores de autenticacin
    Probar por situaciones adverzas

    Pruebas de Seguridad segn


    OWASP
    Gestin de Sesiones
    La gestin de sesiones cubre ampliamente todos los controles que
    se realizan sobre el usuario, desde la autenticacin hasta
    la salida de la aplicacin. HTTP es un protocolo sin estados, lo
    que significa que los servidores web responden a las
    peticiones de clientes sin enlazarlas entre s.
    Es importante que la seguridad de la aplicacin sea considerada
    en el contexto de los requisitos y expectativas del proveedor.

    Pruebas de Seguridad segn


    OWASP
    Pruebas de Autorizacin
    Autorizacin es el concepto de permitir el acceso a recursos
    nicamente a aquellos que tienen permiso para ello. Las pruebas
    de Autorizacin significan entender como funciona el proceso de
    autorizacin, y usar esa informacin para saltarse el mecanismo
    de autorizacin.

    Pruebas de Seguridad segn


    OWASP
    Pruebas de Logica de Negocio
    Comprobar por fallas en la logica de negocio en una aplicacin
    web multifuncional requiere pensar en modos no convencionales.
    Si el mecanismo de autenticacin de una aplicacin es
    desarrollado con la intencin de seguir pasos 1,2,3 para poder
    autenticarse, que pasa si uno salta del paso 1 directo al 3? En
    este ejemplo, la aplicacin o bien provee acceso fallando el
    mecanismo de autenticacin, muestra un mensaje de error de
    acceso negado, o solo un mensaje de error 500?

    Pruebas de Seguridad segn


    OWASP
    Pruebas de Validacin de Datos
    La debilidad ms comn en la seguridad de aplicaciones web, es
    la falta de una validacin adecuada de las entradas procedentes
    del cliente o del entorno de la aplicacin. Esta debilidad conduce a
    casi todas las principales vulnerabilidades en aplicaciones, como
    inyecciones sobre el intrprete, ataques locale/Unicode, sobre el
    sistema de archivos y desbordamientos de bfer.

    Pruebas de Seguridad segn


    OWASP
    Pruebas de Denegacin de Servicio
    El tipo ms comn de ataque de Denegacin de Servicio (Dos) es
    del tipo empleado en una red para hacer inalcanzable a la
    comunicacin a un servidor por parte de otros usuarios vlidos. El
    concepto fundamental de un ataque DoS de red es un usuario
    malicioso inundando con suficiente trfico una mquina objetivo
    para conseguir hacerla incapaz de sostener el volumen de
    peticiones que recibe. Cuando el usuario malicioso emplea un
    gran nmero de mquinas para inundar de trfico una sola
    mquina objetivo, se conoce generalmente como ataque
    denegacin de servicio distribuidos (DDoS).

    Pruebas de Seguridad segn


    OWASP
    Pruebas de Servicios WEB
    Los servicios web y SOA (Arquitectura Orientada a Servicios) son
    aplicaciones en expansin que estn permitiendo que los
    negocios interoperen y crezcan a un ritmo sin precedentes. Los
    clientes de servicios web generalmente no son frontales web, sino
    otros servidores. Los servicios web estn expuestos a la red como
    cualquier otro servicio, pero pueden ser utilizados en HTTP, FTP,
    SMTP o acompaados de cualquier otro protocolo de transporte.
    Las vulnerabilidades en servicios web son similares a otras
    vulnerabilidades como la inyeccin SQL, revelacin de
    informacin, etc, pero tambin tienen vulnerabilidades de XML.

    Pruebas de Seguridad segn


    OWASP
    Pruebas de AJAX
    El uso de las tcnicas AJAX puede conseguir enormes beneficios
    en la experiencia de uso por parte de los usuarios de las
    aplicaciones web. Sin embargo, desde el punto de vista de la
    seguridad, las aplicaciones AJAX tienen una superficie de ataque
    mayor que las aplicaciones web convencionales, a veces son
    desarrolladas centrndose ms en qu se puede hacer que en
    qu se debera hacer. Adems, las aplicaciones AJAX son ms
    complicadas porque el procesamiento se realiza tanto en el lado
    del cliente como en el lado del servidor.

    La seguridad de un sistema informtico es inversamente


    proporcional a la estupidez del administrador

    @owasp

    http://www.owasp.org

    @owasp_ven
    http://www.owasp.org/index.php/venezuela

    Edgar D Salazar T
    @3ddavid
    [email protected]

    21

    Dudas o
    Preguntas?

    También podría gustarte