1. Clase XIV
•[nombre instructor]
•[fecha]

2. A genda
 VSTS
 Introducción
 Seguridad
 Conceptos generales de seguridad en aplicaciones de
software
 Autenticación y Autorización
 Escribir Código Seguro – Las mejores prácticas
 Modelo de Amenazas
 Consideraciones Generales
 Validar user input
 Criptografía

3. A genda
 VSTS
 Introducción
 Seguridad
 Conceptos generales de seguridad en aplicaciones de
software
 Autenticación y Autorización
 Escribir Código Seguro – Las mejores prácticas
 Modelo de Amenazas
 Consideraciones Generales
 Validar user input
 Criptografía

4. Visual Studio Team System
Visual Studio Team Edition Visual Studio Team Edition Visual Studio Team Edition
Software Architects Software Developers Software Testers
Application Designer Dynamic Code Analyzer Load Testing
Logical Infra. Designer Static Code Analyzer Manual Testing
Deployment Designer Code Profiler Test Case Management
Unit Testing
Code Coverage
Class Designer
Visio and UML Modeling
Team Foundation Client (includes CAL)
Visual Studio Professional Edition
o du Sl aus V
i
a ss ec o P
Visual Studio
Change Management Reporting Integration Services
r
Team Foundation Server
Team Build Work Item Tracking Project Site Project Management
i t

5. Logical Datacenter Designer

6. Application Designer

7. System Designer

8. A genda
 VSTS
 Introducción
 Seguridad
 Conceptos generales de seguridad en aplicaciones de
software
 Autenticación y Autorización
 Escribir Código Seguro – Las mejores prácticas
 Modelo de Amenazas
 Consideraciones Generales
 Validar user input
 Criptografía

9. Computación Confiable
La computación confiable tiene cuatro pilares:
 Confiabilidad significa que un sistema de computación es confiable,
esta disponible cuando se lo necesita, y la performace es la esperada y
llega a niveles esperados.
 Seguridad significa un sistema resistente a ataques, la
confidencialidad, integridad, y disponibilidad tanto de los sistemas como
de los datos está protegida.
 Privacidad significa que la gente puede controlar su información
personal y a las organizaciones que usan esta información fielmente
protegida.
 Integridad de Negocio alrededor de las compañías en su industria
que es responsable de ayudar a los clientes a buscar soluciones
Seguridad en .NET
apropiadas para sus negocios, localizar problemas con productos o
servicios, y abrir una interacción con los clientes.
Bill Gates
Julio 18, 2002

10. Tipos Comunes de Ataques
Atacantes
Ataques
Organizados
Ataques
Datos restringidos Automáticos
DoS
Seguridad en .NET
Brechas Accidentales
Falla de Conexión
Virus, Caballos de Negación de
Troya, Servicio (DoS)
y Gusanos

11. Consecuencias de una Seguridad Pobre
 Robo de propiedad intelectual
 Sistemas sin productividad (downtime)
 Menor productividad
 Daño a reputación de negocio
 Perdida de confianza de los consumidores
 Varias perdidas financieras debido a perdidas
Seguridad en .NET
en el ingreso

12. Comunicación Segura – Tecnologías
 Tecnologías incluidas:
 IPSec
 SSL
 TLS
 Encriptación RPC
SSL/TLS IPSec
RPC Encriptación
Seguridad en .NET

13. Autentificación – Propósito de la Autentificación
 Verifica la identidad de un principal
mediante:
 Aceptar credenciales
 Validar estas credenciales
 Comunicaciones Seguras dando por hecho
que la aplicación conoce quién es el
llamador
Seguridad en .NET

14. Autentificación – Métodos de Autentificación
 Basic
 Digest
 Firmas digitales y certificados digitales
 Integridad
 Protocolo Kerberos versión 5
 NTLM
 Microsoft Passport
Seguridad en .NET
 Biométrica

15. Demo
•Métodos de autenticación con IIS
Seguridad en .NET

16. Autorización - Qué es autorización?
 Autorización:
 Ocurre después que la petición del cliente
es autentificada
 Es el proceso de confirmar que una
autentificación principal está permitida a
acceder a recursos específicos
 Chequea la correcta asignación de
archivos, carpetas, registro de
Seguridad en .NET
configuraciones, aplicaciones, y demás
 Puede ser basada en roles
 Puede ser basada en código

17. Autorización – Técnicas comunes de
autorización
 Acceso Web IIS y restricciones IP/DNS
 Seguridad basada en roles .NET
 Código de seguridad de acceso .NET
 Listas de control de acceso NTFS (ACL)
 Logins SQL Server
Permisos SQL Server
Seguridad en .NET


18. Demo
•Acceso Web IIS y restricciones IP/DNS
•Logins SQL Server
Seguridad en .NET
•Permisos SQL Server

19. Adoptar el Framework de Seguridad
SD3
Construir un modelo de defensa
Seguro por Conducir revisión de código, test de
Diseño penetración
Correr código con los mínimos privilegios
Seguro por Minimizar las superficies de ataque
Defecto Deshabilitar servicios innecesarios
Seguridad en .NET
Impulsar mejores prácticas de seguridad
Seguro en
Crear guías de seguridad
el
Construir herramientas para evaluar la
Deployment seguridad de aplicaciones

20. Seguro por Diseño
 Elevar la conciencia de seguridad en el equipo
de diseño
 Usar entrenamiento continuo
 Actitud de desafió - “Lo que no conozco no me
daña” no es aplicable!
 Adquirir seguridad correcta durante la fase de
diseño
 Definir objetivos de seguridad del producto
Seguridad en .NET
 Implementar seguridad como una característica
clave del producto
 Usar modelos de defensa durante la fase de
diseño

21. Qué es el modelo de amenazas?
 El modelo de defensa es un análisis
basado en la seguridad que:
 Ayuda a un equipo a entender donde los
productos son más vulnerables
 Evalúa las amenazas de una aplicación
 Apuntar a reducir el riesgo global de
seguridad
 Detectar valor
Seguridad en .NET
 Descubrir vulnerabilidades
 Identificar amenazas
 Debe ayudar al diseño de seguridad básica

22. Beneficios del Modelo de Amenazas
 Ayuda a entender mejor a su aplicación
 Ayuda a encontrar bugs
 Identifica complejos
bugs en el diseño
Vulnerabilidad
 Ayuda a integrar
nuevos miembros
de equipo
Seguridad en .NET
 Conduce a un buen Amenaza Activo
diseño de plan de seguridad

23. El proceso del modelo de Amenazas
Amenazas Proceso de Modelado
1 Identificación de Activos
2 Crear una visión general de Arquitectura
3 Descomponer la Aplicación
4 Identificar las Amenazas
Seguridad en .NET
5 Documentar las Amenazas
6 Evaluar las Amenazas

24. Mejorar el Proceso del desarrollo de
Aplicación
 Consideraciones de seguridad
 Al inicio del proceso
 A través del desarrollo
 A través de la distribución
 A través de todas las revisiones del
software
Seguridad en .NET
 No parar de revisar bugs en la seguridad
hasta que termine el proceso de
desarrollo

25. Prueba de Seguridad
 Involucre a un equipo de pruebas al inicio del
proyecto
 Use un modelo de amenazas para desarrollar una
estrategia de pruebas seguras
 Piense Mal. Sea Malo. Prueba lo Malo.
 Ataques automáticos con scripts y lenguajes de
programación de bajo nivel
 Introduzca una variedad de datos inválidos
 Borre o deniegue acceso a archivos o entrada al registro
Seguridad en .NET
 Pruebe con una cuenta que no es una cuenta de
administrador
 Conozca a su enemigo y conozca se a usted mismo
 Qué técnicas y tecnologías van a usar los hackers?
 Qué técnicas y tecnologías van a usar los testers?

26. No confíe en las entradas de Usuario
 Validar todas las entradas
 Asuma que todas las entradas son dañinas hasta
probar lo contrario
 Verificar la validación de datos y rechazar todo en
caso contrario
 Restricciones, rechazar entradas de usuario
con
 Chequeo de tipos
 Chequeo de tamaño
 Chequeo de rango check
Seguridad en .NET
 Chequeo de formato
Validator.ValidationExpression =
"w+([-+.]w+)*@w+([-.]w+)*.w+([-.]w+)*";

27. Demo
•Validar user input
Seguridad en .NET

28. Criptografía
 Criptografía simétrica
 Criptografía asimétrica
 Firmas digitales
Seguridad en .NET

29. Qué es criptografía simétrica?
 Permite transferencia de datos segura
 Confianza segura sobre claves seguras compartidas
 Intercambio de claves seguras es un desafío
Clave secreta Clave secreta
Datos Datos Encriptados Datos
Algoritmo Algoritmo
Seguridad en .NET
Simétrico Simétrico
Remitente encripta los Receptor desencripta
1 datos confidenciales
usando claves secretas
2 datos confidenciales
usando claves secretas

30. Qué es Criptografía Asimétrica?
 Permite segura transferencia de datos seguros
 Usan pares de claves relacionadas matemáticamente:
una clave pública y una clave privada
Remitente encripta los Datos
Algoritmo Datos
1 datos usando la clave
publica del receptor Clave pública Asimétrico Encriptados
del Receptor
Seguridad en .NET
Datos
Receptor desencripta Encriptados Algoritmo
2 los datos usando su
clave privada Clave privada Asimétrico
Datos
de Receptor

31. Qué es la Firma Digital?
 Puede usar criptografía asimétrica para asegurar la
integridad de los datos
El remitente parte los datos y encripta los pedazos con su clave
privada para generar la firma
Algoritmo Valores Hash Algoritmo
Datos Firma
Hash Clave primaria de Asimétrico
remitente
El receptor desencripta la firma con la clave pública del remitente
Seguridad en .NET
y compara los valores con los pedazos de data
Firmas
Algoritmo Valor Desencript Algoritmo
Datos
Hash Los valores son iguales?
Hash ar Firma Asimétrico Clave
pública de
remitente