Untitled

Concepto: ASVS OWASP

El estandar de verificacion de seguridad de aplicaciones (ASVS), es un marco de controles de seguridad.

ASVS NIVEL 1: Para niveles bajos de aseguramiento y es completamente de penetracion comprobable. ​​​​​​

ASVS NIVEL2: Es para aplicaciones que contienen datos confidenciale, que requiere proteccion y es el nivel recomendado para la mayoria de las apliicaciones.

ASVS NIVEL 3: Es para aplicaciones mas criticas, aplicaciones que realizan transacciones de alto valior, contienen datos medicos confidenciales o cualquier aplicacion que requiera el nivle mas alto.

V1: Requisitos de arquitectura, diseño y modelado de amenazas: La arquitectura de seguridad casi se ha convertido en un arte perdido en muchas organizaciones. Los días del arquitecto empresarial han pasado en la era de DevSecOps. El campo de la seguridad de las aplicaciones debe ponerse al día y adoptar principios de seguridad ágiles, al tiempo que se reintroducen los principios de arquitectura de seguridad líderes a los profesionales del software.

V2: Requisitos de verificación de autenticación: La autenticación es el acto de establecer, o confirmar, a alguien (o algo) como auténtico y que las afirmaciones hechas por una persona o sobre un dispositivo son correctas, resistentes a la suplantación y evitan la recuperación o interceptación de contraseñas.

V3: Requisitos de verificación de la gestión de sesiones: Uno de los componentes principales de cualquier aplicación basada en web o API con estado es el mecanismo por el que controla y mantiene el estado de un usuario o dispositivo que interactúa con él. La administración de sesiones cambia un protocolo sin estado a con estado, lo que es fundamental para diferenciar diferentes usuarios o dispositivos.

V4: Requisitos de verificación de control de acceso: La autorización es el concepto de permitir el acceso a los recursos sólo a los permitidos para utilizarlos. Asegúrese de que una aplicación verificada cumple los siguientes requisitos de alto nivel: 1.Las personas que acceden a recursos tienen credenciales válidas para hacerlo 2.Los usuarios están asociados con un conjunto bien definido de roles y privilegios. 3.Los metadatos de rol y permisos están protegidos contra la reproducción o la manipulación.

V5: Requisitos de validación, desinfección y codificación de verificación: La debilidad de seguridad de la aplicación web más común es el error al validar correctamente la entrada procedente del cliente o del entorno antes de usarla directamente sin ninguna codificación de salida. Esta debilidad conduce a casi todas las vulnerabilidades significativas en las aplicaciones web, como el scripting entre sitios (XSS), la inyección de SQL, la inyección de intérprete, los ataques de configuración regional/Unicode, los ataques del sistema de archivos y los desbordamientos de búfer.

V6: Requisitos de verificación de criptografía almacenada: Asegúrese de que una aplicación verificada cumple los siguientes requisitos de alto nivel: Todos los módulos criptográficos fallan de forma segura y que los errores se manejan correctamente.Se utiliza un generador de números aleatorios adecuado. El acceso a las claves se administra de forma segura.

V7: Requisitos de manejo de errores y verificación de registro: El objetivo principal del control y el registro de errores es proporcionar información útil para el usuario, los administradores y los equipos de respuesta a incidentes. El objetivo no es crear cantidades masivas de registros, sino registros de alta calidad, con más señal que ruido descartado.

V8: Requisitos de verificación de protección de datos: Hay tres elementos clave para la protección de datos de sonido: Confidencialidad, Integridad y Disponibilidad (CIA). Esta norma supone que la protección de datos se aplica en un sistema de confianza, como un servidor, que se ha reforzado y tiene suficientes protecciones.

V9: Requisitos de verificación de comunicaciones: Asegúrese de que una aplicación verificada cumple los siguientes requisitos de alto nivel:TLS o cifrado fuerte siempre se utiliza, independientemente de la sensibilidad de los datos que se transmitenEl consejo de configuración líder más reciente se utiliza para habilitar y ordenar algoritmos y cifrados preferidosAlgoritmos débiles o que pronto quedarán obsoletos y los cifrados se ordenan como último recursoLos algoritmos y cifrados inseguros obsoletos o conocidos están deshabilitados.

V10: Requisitos de verificación de código malintencionado: Asegúrese de que el código cumple los siguientes requisitos de alto nivel: La actividad malintencionada se maneja de forma segura y adecuada para no afectar al resto de la aplicación. No tiene bombas de tiempo u otros ataques basados en el tiempo. No "teléfono a casa" a destinos maliciosos o no autorizados.

V11: Requisitos de verificación de lógica empresarial: Asegúrese de que una aplicación verificada cumple los siguientes requisitos de alto nivel: El flujo de lógica de negocios es secuencial, se procesa en orden y no se puede omitir. La lógica empresarial incluye límites para detectar y prevenir ataques automatizados, como transferencias continuas de fondos pequeños, o agregar un millón de amigos de uno en uno, etc.

V12: Requisitos de verificación de archivos y recursos: Asegúrese de que una aplicación verificada cumple los siguientes requisitos de alto nivel: Los datos de archivo que no son de confianza deben tratarse en consecuencia y de forma segura. Los datos de archivo que no son de confianza obtenidos de orígenes que no son de confianza se almacenan fuera de la raíz web y con permisos limitados.

V13: Requisitos de verificación de API y servicios web: Asegúrese de que una aplicación verificada que utiliza API de capa de servicio de confianza (normalmente mediante JSON o XML o GraphQL) tiene: Autenticación adecuada, gestión de sesiones y autorización de todos los servicios web. Validación de entrada de todos los parámetros que transitan de un nivel de confianza inferior a superior.

V14: Requisitos de verificación de configuración: Asegúrese de que una aplicación verificada tenga:

Un entorno de compilación seguro, repetible y automatizable. Biblioteca de terceros protegida, gestión de dependencias y configuración para que la aplicación no incluya componentes obsoletos o inseguros.

Una configuración segura por defecto, de modo que los administradores y los usuarios tengan que debilitar la postura de seguridad predeterminada.