ponencia owasp.ppt
•Descargar como PPT, PDF•
0 recomendaciones•18 vistas
ponencia owasp.ppt
Recomendados
Más contenido relacionado
Similar a ponencia owasp.ppt
Similar a ponencia owasp.ppt (20)
ponencia owasp.ppt
- 4. INTEGRIDAD
- 6. AUTENTICACION CONTRASEÑAS EN SI Fuente: www.es.dreamstime.com
- 7. TRANSVERSALIDAD DE LA SI. Fuente: www..segurilatam.com
- 8. 3. LA TIPICA PREGUNTA: QUE TENGO QUE APRENDER SI YO ME VOY A DEDICAR A SEGURIDAD INFORMATICA? Fuente: UNIR
- 9. 4. FACTOR REDES: Fuente: www. https://www.tecnologia-informatica.com/
- 10. 5. SE VA A ACABAR LOS PUESTOS EN SEGURIDAD INFORMATICA? Fuente: Instituto Nacional de Ciberseguridad
- 12. QUE ES OWASP: Fuente: www.disoftin.com
- 13. DOCUMENTACION DE OWASP Fuente: www..yosoy.dev
- 15. Guia de pruebas de owasp Fuente: www.computerhoy.com
- 21. Parte Practica-Inicio de la aplicación. Fuente: Autor
- 22. OWASP EN MODO ATAQUE Fuente: www.computerhoy.com
- 23. REPORTES DE OWASP Fuente: sites.google.com
Notas del editor
- MI NOMBRE ES HECTOR MENDOZA TENGO 15 AÑOS EN ESNSEÑANZA DE INFORMATICA, CANDIDATO A MAGISTER EN SEGURIDAD INFORMATICA
- 1.QUE ES LA SEGURIDAD INFORMATICA?: Cuando se habla de este tema, lo primero que tenemos que entender es nosotros buscamos prevenir y detectar ataques a nivel seguridad informática porque? Porque nuestro objetivo con la seguridad en una primera instancia es la
- CONFIDENCIALIDAD: Donde se busca que solo los usuarios autorizados puedan acceder a los recursos a los datos a la información a lo que nosotros tenemos de información digitalizada en nuestro entorno digital: servidores, computadores, red, muchas veces nosotros manejamos información sensible o sea no queremos que otras personas conozcan.
- INTEGRIDAD DE LA INFORMACION: Donde solo los usuarios autorizados deben ser capaces de modificar los datos cuando sea necesario, o sea evitar que una persona ajena a la que nosotros autorizamos pueda modifica, eliminar, alterar esta información.
- DIPONIBILIDAD: Donde los datos siempre deben estar disponible para que los usuarios cuando sea necesario, por esos la Seguridad Informatica es tan importante y Transversal en la era Digital en la cual nos encontramos
- AUTENTICACION: Uno se autentica para saberque con esa persona es con la cual nos estamos comunicando por ejemplo les escribo un Whatssapp a la persona, cada whatsapp tiene un sistema de autenticación entonces nosotros tenemos la certeza de que al otro lado nos estamos comunicacndo con quienes nosotros pensamos que nos estamos comunicando, cosa vital e importante ya hoya abre a las brechas a la seguridad encustiones de Phishing, por ejemplo el phishing relaciona a los GERENTES de las empresas, donde nosotros creemos que nos estamos comunicando con estas personas y en realidad muchas veces no, porque no se aplica la seguridad informática de manera correcta
- 2. LA SEGURIDAD INFORTICA ES TRANSVERSAL A TODO: FIGURA DEL MAPA DEL MUNDO, a que me refiero con transversal a todo a donde ustedes miren va a ver seguridad Informatica , en el mapa se coloco un par de ejemplos, pero la realidad es que faltan muchos lugares mas, hoy en día que esta de moda las Nuevas Tecnologías lavaropas que les puedo mandar email, Autos Inteligentes, etc, todo eso es hackeable, cuando hablo de hackeable es que se necesita que se proteje esa información, emeplos empresas, hogares , Gobiernos, cuando hablamos hoy en día de algo que esta de moda como es el análisis de datos y todo lugar donde se guarde información así como las coputadores personales de contadores, médicos de la información de los pacientes de la información financiera de las personas , estas información para los profesionales es fundamental protegerlas, a raíz de todo eso es conocido hoy como el ataque de Ramsoware por ejemplo , donde el ciberdelincuente lo que busca es SECUESTRAR la información para pedir un rescate y así conseguir dinero. Incluso los ciberdlitos son muy rentables, esto es serio es verdad y hace que el profesional en Seguridad Informatica tome un protagonismo sumamente importante.
- Por donde empiezo si me voy a dedicar a seguridad Informatica cosa. Hoy en día en 2020 se están viendo universidades que empiezan a tomar mas en serio la seguridad informática e introducen temáticas, de hecho hay posgradosen nuestros países, aunque todavía no a tomado tanta fuerza, la realidad es no esta en todos lados, desde la perspectiva de estudios formales Universidades especializadas en este tema como en España, si tiene la oportunidad de estudiar en alguna de ellas, puede que redes, telematica y programación suma, pero no les quede la duda que vana anecesitar estudiar por fuera muchisismo y si pueden contarcon una certificación mejor, este no es un requisito indispensable ni obligatorio para la seguridad informática, también esta la opción Autodidadta hoy en día es tanta la demanda de profesionales de Seguridad Informatica que no es indispensable tener un titulo universitario para encontrar talento, personas que sepan y puedan funcionar como profesionales en seguridad informática, esa es la perspectiva de Autodidadta, mas con los recursos que existen hoy en día hasta de manera online hasta de recursos formales de manera ONLINE, no necesariamente tienen que ser presenciales
- 4. FACTOR REDES: Es indispensable conocer de redes, también los que son SISA que son las personas que han trabajado en administración de sistemas, la atención al usuario, también hacer soporte uno aprende muchísimo, porque si uno conoce al usuario también va a conocer las vulnerabilidades, la mas grande en seguridad informática es la capa 8 que es el usuario y obviamente algo indispensable que es la experiencia. Existen muchas herramientas en internet para empezar a practicar cosa que e fundamental. 4. FACTOR REDES:
- Es una amenzada la Inteligencia Artificial o las aplicaciones que automatizan. La espeusta es no, para crear la IA y demás se necesitan Profesionales, para implementar el sotfware y las aplicaciones se necesitaSeguridad Informatica, lo de acabar los puestos de trabajo es imposible porque cada tecnología que surge es otra brecha de seguridad informática, se debe aplicar la Seguridad Informatica, es un campo que definitivamente no se va acabar nunca y que existió desde que existe la tecnología desde que existe internet y que ahora tomo un protegonismo, una fuerza increíble que cada vez es exponencial el crecimiento de internet y las tecnologías, así que por supuesto que no, y que un de las cosas que podemos hacer es invertir nuestro tiempo para aprender la seguridad informática.
- ZAP OWASP: Esta herramienta esta hecha justamente por OSWAP donde consite en un software una aplicación donde nosotros ingresamos la dirección de la Pagina Web o la aplicación que queremos analizar sus vulnerabilidades y esta aplicación nos devuelve
- Viene del acrónimo Open Web Application Security Project, es una organización abierta sin animo de lucro que inicio en el año 2001y se a convertido en todo un estándar para el manejo de la seguridad en aplicaciones web, que busca constanmente fomentar el sedarrollo seguro, la seguridad informática y en especial la seguridad Web, esta trabajando un poco entemas de seguridad móvil, pero inicio como seguridad web.
- La documentación: hay una serie de Standares, de metodologías y oswap nos arroja todo esto, tiene documentación buena en diferentes idiomas que nos permite como desarrollar de forma segura nuestras aplicaciones y como auditar estas aplicaciones para descubrir fallos de seguridad.
- Guia para la construcción segura de aplicaciones y servicios web: Buenas prácticas de desarrollo seguro. Buena metodología para desarrollar este tipo de herramientas Se cubre tanto desarrollo como infraestructura
- Encontramos 80 puntos en los que enfocarnos a la hora tanto de probar las aplicaciones en su seguridad como a la hora de desarrollar esos puntos clave para que no cometamos errores de seguridad, esta mas enfocado a las pruebas de seguridad, se cubren todas las fases del desarrollo de una aplicación web.
- Son documentos donde se enumeran en un top 10 cuales son los problemas mas frecuentes que se encuentran ya sea en las aplicaciones móviles, ya sea en las aplicaciones web tenemos diferentes tipos de Top y todos conocemos oswap por este tipo de proyectos y logran de forma mas resumida quitear los problemas mas frecuentes que se encuentran en una aplicación web, mientras mas se encuentren arriba es mas frecuente y mas peligroso para una aplicación web
- Se refiere a la redireccion y renvíos no validos, cuando un desarrollador después de un login envia según el perfil que tiene una persona a un sitio o a otro sitio y no se toman las medidas necesarias para que ese reenvio, tendríamos problemas porque estaríamos enviando a las personas a un sitio malicioso.
- Uso de componentes con vulnerabildades conocidas, es cuando se utilizan librerías, plugins, ¿digamoas cms o componentes independientes pero que hacen parte del sistema y tienen fallos de seguridad informática que fallos conocidos, no actualizan y con las actualizaciones se va mejorando el código y se van solucionando problemas de seguridad que se van detectando. Es fácil solucionar esta vulnerabilidad simplemente actualizando el plugin la librería y demás.
- Falsificacion de peticiones en sitios cruzados: es cuando un usuario autenticado que tiene ciertos privilegios es engañado para entrar a un sitio especialmente modificado y que esa persona realice peticiones al sitio web que queremos afectar.
- Protección Insuficiente en la capa de transporte: es cuando la información sensible es enviada sin ningún tipo de protección ya sea de cifrado o un uso de capa adicional como el caso de https y una persona malintensionada puede interceptar esa comunicación y hacerse con esa información sensible.
- Esta es la ventana de la aplicación, acá nosotros podemos ingresar la pagina web que quieren analizar, por ejemplo yo puedo ingresar la mia, puedo poner a atacar y empieza a analizar. Que sucede sugiero que cuando la quieran probar o hacer la hagan con paciencia, yo ya la ejecute y lo hice sobre mi pagina web, pero suele demorar bastante tiempo, se toma su tiempito para poder hacer un análisis porque de hecho hace muchísimas pruebas, una vez que ingresaron a la pagina pueden atacar y ver los resultados aquí.
- Sobre mi pagina web como ejemplo, dependiendo el objetivo pueden obtener mayores o menores resultados, también con las pestañas como vera alertas. Les da también una vista de los resultados. Pero con respecto a la aplicación tiene un montón de opciones que no bien al caso explorarlas en este momento a profundidad del zap.
- Arriba dice reporte, generar informe html, si hago click me da la opción para en donde la quiero colocar, la voy a dejar en escritorio, luego me lo ejecuta. De esa manera pueden tener un reporte donde me lo analiza: Se tiene la descripción, el encabezado donde aparece: Url: donde se hizo el ataque, el método post por así decirlo y luego sigue dando las explicaciones. También muestra la solución y así lo hace por cada uno como verán acá este no a sido un informe tan grande, lo cual significa que tenga grandes vulnerabilidades en mi pagina web, en este caso es a nivel medio como un ranking me dice que hay una y abajo hay 6 vulnerabilidades, esta seria la primera etapa de un pentesting el cual cuenta con 4 etapas. La primera es el reconocimiento, luego viene la postexploracion.