Este documento presenta las buenas prácticas de desarrollo seguro basadas en OWASP (Open Web Application Security Project). Explica el proceso de desarrollo seguro (SDL) de OWASP, que incluye actividades como la identificación de expertos en seguridad, la realización de pruebas estáticas y dinámicas de código, y el uso de herramientas de modelado de amenazas. Luego, el documento muestra una demostración del uso de la herramienta de modelado de amenazas Microsoft Threat Modeling Tool y la

1. Buenas prácticas de desarrollo
seguro basados en OWASP
Peter Concha
Arquitecto de Seguridad

2. AVANET NACIÓ DE UN
SUEÑO
LLAMADO
ALTRUISMO DIGITAL…

3. DURANTE CINCO AÑOS
TRABAJAMOS SIN DESCANSO
POR EL DE LA MANERA
EQUIVOCADA…

4. (Ecuador)
Contagiamos gente a lo lejos…

5. Congreso Científico de Ciencias e
Ingeniería
UNEMI
2021

6. Agenda
•Presentación
•Introducción a OWASP
•Proceso SDL
•Herramientas
•Demo
•Referencias
•Preguntas

7. Un poco sobre mí
Contactos

8. https://about.me/peterconchar

9. Introducción a OWASP

10. Estado actual OWASP

11. Proceso SDL

12. Optimizando un Proceso

13. ¿Formación
en materia
de seguridad?
Formación
básica completa
¿Se han
identificado
herramientas?
Plan de
respuesta
Documentar
procedimientos
de respuesta
a emergencias
Especificar
compiladores,
herramientas,
marcas y
opciones
¿API no
seguras?
¿Revisión
de seguridad
final?
Revisar todas
las actividades
de seguridad
y privacidad
Prohibir
funciones
y API no
seguras
Análisis
estático
¿Lanzamiento/
archivado?
Archivar todos
los datos
técnicos
pertinentes
Realizar análisis
de código
estático
periódico
¿Requisitos
de diseño?
Realizar
todas las
subtareas
Seguridad
Revisar
junto con
el asesor
Privacidad
Revisar junto
con el asesor
Cifrado
Revisar
junto con
los asesores
Superficie
de ataques
Defensas
por capas y
privilegio
mínimo
¿Modelos
de riesgos?
Evaluar riesgos
mediante
STRIDE
Análisis
dinámico
Realizar
pruebas de
comprobación
en tiempo
de ejecución
¿Pruebas de
exploración de
vulnerabilidades
mediante datos
aleatorios?
Aplicar estas
pruebas a todas
las interfaces de
programación
¿Revisar
modelo de
riesgos/
superficie de
ataques?
Validar
modelos con
proyecto de
código completo
¿Pruebas de
penetración?
(Opción)
Pruebas
de ataque
deliberadas con
componentes
críticos
FIN
¿Se han
identificado
expertos?
Asignar asesores
y responsables
de equipo
¿Requisitos
mínimos?
Definir
criterios de
seguridad
mínimos
¿Seguimiento
de errores?
Especificar
herramienta de
seguimiento de
errores o del
trabajo
Umbrales
de calidad
Especificar
umbrales
de calidad
y límites
de errores
¿Riesgo
evaluado?
Usar SRA/PRA
para codificar
el riesgo
¿Requisitos
de seguridad/
privacidad?
Realizar
todas las
subtareas
Sí
No
No
No
No
No
No
No
No
No
Sí
No
No
No
No
Sí
Sí
Sí
Sí
Sí
Sí
Sí
Sí
No
No
No
No
No
No
Sí
Sí
Sí
Sí
Sí
Yes
Sí
Sí
Sí
Sí
No
No
No
Sí
Formación Requisito Diseño Implementación Comprobación Lanzamiento
No
Respuesta

14. Herramientas

15. Herramientas

16. Threat Modeling

17. Threat Modeling

18. Metodología STRIDE Y DREAD

19. Demo Threat Modeling

20. Demo DAST
Dynamic Analysis Security Testing

21. Referencias y Preguntas

22. Referencias
•OWASP Foundation | Open Source Foundation for Application Security
•OWASP ZAP (zaproxy.org)
•Microsoft Threat Modeling Tool (slideshare.net)
•Microsoft Security Development Lifecycle Threat Modelling
•Microsoft Security Development Lifecycle Practices
•Download Implementación simplificada del proceso SDL de Microsoft
from Official Microsoft Download Center
•Microsoft Security Development Lifecycle Resources
•Mitigations - Microsoft Threat Modeling Tool - Azure | Microsoft Docs

23. https://about.me/peterconchar