QA and Security in Development Process

1. Security in Offshore/Outsource
Application Development Pg. de Gràcia, 85 2ª Barcelona
T. 93 445 34 00
F. 93 487 69 87
Soldat Arrom Quart, 1 2ª mod 5
Palma de Mallorca
T. 971 756 820
F. 971 757 274
Roger Carhuatocto www.in2.es
roger.carhuatocto {{AT}} in2.es www.gos4i.org

2. Proceso de Desarrollo de Software - Offshore/Outsource
1 2 3 4 5 6
Requerimientos Diseño Plan de Implementación Resultado Retroalimentación
y casos de uso Pruebas y codificación de Pruebas y feedback
Empresa Software Usuario
Contratante Factory Final
© IN2 - Confidencial 2

3. Proceso de Desarrollo de Software con Calidad y
Seguridad
 Proceso clásico siguien pautas generales:
› ISO9001:2000, CMM, Metodologías Ágiles, ....
 Objetivo:
› Detectar con antelación el error, en la etapa de diseño y no en producción
› Ahorro del 60% de costes en actividades de Solución de un error cuando se detecta
en la fase de Diseño.
 Alcance:
› Uso de metodologías clásicas de desarrollo pero con una adición de técnicas de
testing y de aseguramiento de la calidad
› El aseguramiento se extiendo a los largo del proceso
› Soporte con herramientas al proceso de aseguramientos:
• Gestión de Incidentes y/o Bugtracker
• Herramientas automatizadas para identificar vulnerabilidades en código fuente,
en funcionalidades
• Herramientas para ejecutar pruebas de carga, etc.
• Herramientas para probar la Seguridad
• Sistema de Gestión de Pruebas
© IN2 - Confidencial 3

4. Proceso de Desarrollo de Software con Calidad y
Seguridad
Requerimientos de Revisión Análisis Estático Pruebas de
Seguridad y Calidad Externa (Herramientas) Penetración
Casos Análisis Pruebas de Seguridad Análisis Monitorización
de abuso de Riesgo basadas en el Riesgo de Riesgo y Seguimiento
1 2 3 4 5 6
Requerimientos Diseño Plan de Implementación Resultado Retroalimentación
y casos de uso Pruebas y codificación de Pruebas y feedback
Selección de Herramientas Pruebas
de Pruebas de Carga
© IN2 - Confidencial 4

5. 1. Las Técnicas: Misuse-Abuse Case y Security Use Case
(1/2)
© IN2 - Confidencial 5

6. 1. Las Técnicas: Misuse-Abuse Case y Security Use Case
(1/2)
 Casos de Uso
› Requerimiento funcional de usuario
› Comportamiento normal de lo que será la aplicación
 Misuse-Abuse Case
› No son requerimientos
› No es el comportamiento normal
› Comportamient olvidado:
• Comportamiento anormal
• Comportamiento de seguridad
• Etc...
 Es importante hacer un análisis de amenazas!
© IN2 - Confidencial 6

7. 2. Análisis Estático de Código
 Método para el análisis del código fuente o código objeto
 Sirve para ganar conocimiento de lo que la Aplicación hará en producción. además sirve
para establecer algún criterio de corrección en el código.
 Técnicas
› Black Box Testing
› White Box Testing
• Code Coverage
› Profiling
• De performance
• De flujo
• De memoria
• Etc...
 Métricas de Software
© IN2 - Confidencial 7

8. Herramientas Code Coverage/Profiling para JAVA y Free,
Open Source
 Jrat: Performance Profiling , http://jrat.sourceforge.net/
© IN2 - Confidencial 8

9. Herramientas Code Coverage/Profiling para JAVA y Free,
Open Source
 Extensible Java Profiler
› http://ejp.sourceforge.net
 Basado JVM Profiler Interface (JVMPI)
 http://java.sun.com/j2se/1.4.2/docs/guide/jvmpi
© IN2 - Confidencial 9

10. Herramientas Code Coverage/Profiling para JAVA y Free,
Open Source
 Cougaar Memory Profiler
› http://profiler.cougaar.org
 Jcoverage
› Trabaja hasta nivel de byte-code
› http://jcoverage.com
 Cobertura
› % de accesos a código desde los Test
› Qué parte del código ha sido probado pocas veces
© IN2 - Confidencial 10

11. Conocimiento-Patrones comunes de Errores en el Código
de App
 (Kingdoms) Fortify Taxonomy of Software Security Errors: http://vulncat.fortifysoftware.com/
 19 Deadly Sins of Sw Security:
http://www.amazon.com/gp/product/0072260858/104-4300195-4358349
 OWASP Top Ten Most Critical Web Application Security Vuln:
http://www.owasp.org/documentation/topten.html
© IN2 - Confidencial 11

12. IN2, Compromiso con la Confianza
Muchas Gracias
© IN2 - Confidencial 12