OWASP

OWASP

1. Próximos pasos para desarrolladores

   • Requisitos de Seguridad en Aplicaciones
     • Para producir aplicaciones web seguras, se debe definir qué significa “seguro” para una aplicación en particular. OWASP recomienda utilizar el Estándar de Verificación de Seguridad en Aplicaciones de OWASP (ASVS)
   • Arquitectura de seguridad en aplicaciones
     • OWASP recomienda la serie de hoja de trucos de prevención de prevención como puntos de inicio óptimos para guiarlo en el diseño seguro de aplicaciones.
   • Controles de Seguridad Estándar
     • Construir controles de seguridad fuertes y usables es difícil. Un conjunto de controles estándar de seguridad simplifican radicalmente el desarrollo de aplicaciones y APIs seguras.
   • Ciclo de vida de desarrollo seguro
     • Para mejorar el proceso que su organización utiliza para crear aplicaciones y APIs, OWASP recomienda el Modelo de Garantía de la Madurez del Software (SAMM)
   • Educación de la Seguridad en Aplicaciones
     • Para una formación práctica acerca de vulnerabilidades, pruebe los proyectos OWASP WebGoat, WebGoat.NET, OWASP NodeJS Goat, OWASP Juice Shop Project o el OWASP Broken Web Applications Project.

2. Próximos pasos para Testers

   • Comprender el Modelo de Amenazas
     • Antes de comenzar la revisión, asegúrese de comprender en qué es importante emplear el tiempo. Las prioridades vienen del Modelado de Amenazas, así que si Ud. no tiene uno, necesita crearlo antes de la revisión.
   • Comprender su SDLC
     • Su enfoque de la revisión de seguridad de aplicaciones debe ser altamente compatible con las personas, procesos y herramientas que usa en su SDLC. Intentos de forzar pasos, flujos de autorizaciones y revisiones extra probablemente causarán fricción, serán evitados y difíciles de superar
   • Estrategias de pruebas
     • El Marco de Trabajo de Conocimiento de Seguridad de OWASP y el Estándar de Verificación de Seguridad de Aplicaciones de OWASP (ASVS) pueden ser buenas fuentes de requerimientos de seguridad funcionales y no funcionales en la revisión y en las pruebas de integración
   • Lograr cobertura y precisión
     • Concéntrese en lo que es importante y amplíe su programa de verificación con el tiempo. Esto significa ampliar el conjunto de defensas y riesgos de seguridad que se prueban automáticamente, así como ampliar el conjunto de aplicaciones y APIs que se incluyen en el alcance
   • Comunicar los mensajes claramente
     • Construya confianza mostrando que comprende cómo funciona la aplicación. Describa claramente y sin jerga técnica como puede ser abusada e incluya un escenario de ataque para hacerlo real. Haga una estimación realista de qué tan difícil es descubrir una vulnerabilidad y explotarla, y que tan malo podría ser. Finalmente, distribuya los hallazgos.

3. Próximos pasos para las organizaciones

   • INICIO
     • Documentar todas las aplicaciones y sus activos de información asociados. Las organizaciones grandes deben considerar el uso de una Base de Datos de Gestión de la Configuración (CMDB).
     • Establecer un programa de seguridad de aplicaciones e impulsar su adopción.
     • Realizar un análisis de brecha de capacidades entre su organización y otras similares para definir las áreas clave de mejora y un plan de ejecución.
   • Enfoque basado en el catálogo de riesgos
     • Identificar y establecer prioridades en su catálogo de aplicaciones en base al riesgo inherente asociado al negocio, guiadas por las leyes de privacidad aplicables y otras regulaciones relevantes a los activos de datos a ser protegidos.
     • Establecer un modelo de calificación de riesgo común, con un conjunto consistente de factores de impacto y probabilidad, que reflejen la tolerancia al riesgo de la organización.
     • Medir y priorizar de forma acorde todas las aplicaciones y APIs. Adicionar los resultados al CMDB.
   • Contar con una base sólida
     • Establecer un conjunto de políticas y estándares que proporcionen una base de referencia de seguridad de las aplicaciones, a las cuales todo el equipo de desarrollo debe adherirse.
     • Definir un conjunto de controles de seguridad reutilizables, que complemente esas políticas y estándares y proporcionen una guía en su uso en el diseño y desarrollo.
   • Integrar la Seguridad en los procesos existentes
     • Definir actividades de implementación segura y verificación en los procesos operativos y de desarrollo existentes.
     • Definir actividades como el modelado de amenazas, diseño y revisión de seguridad, revisión de código, pruebas de intrusión y remediación.
   • Proporcionar visibilidad a la gestión
     • Gestionar a través de las métricas. Manejar las decisiones de mejora y provisión de recursos económicos, basándose en las métricas y el análisis de los datos capturados. Las métricas incluyen el seguimiento de las prácticas y actividades de seguridad, las vulnerabilidades presentes y las mitigadas, la cobertura de la aplicación, densidad de defectos por tipo y cantidad de instancias, etc.

4. Próximos pasos pasa los administradores de aplicaciones

   • Administración de Requisitos y Recursos
     • Recolectar y negociar los requisitos de negocios para una aplicación, incluyendo confidencialidad, autenticidad, integridad y disponibilidad de todos los activos de datos y de las funciones de negocio.
     • Planear y negociar el presupuesto que cubre todos los aspectos de diseño, construcción, testeo y operación, incluyendo actividades de seguridad.
   • Solicitud de Propuestas (RFP) y Contratacion es
     • Negociar requisitos con desarrolladores internos y externos, incluyendo lineamientos y requerimientos de seguridad con respecto a su programa de seguridad. Por ej. SDLC, mejores prácticas.
     • Negociar todos los requerimientos técnicos incluyendo diseño, seguridad y acuerdos de nivel de servicio (SLA)
   • Planificación y Diseño
     • Definir la arquitectura de seguridad, controles y contramedidas adecuadas a las necesidades de protección y el nivel de amenazas planificado. Esto debería contar con el apoyo de especialistas en seguridad.
     • En cada etapa (sprint), asegurar que se creen casos de uso con requisitos de seguridad y restricciones para requerimientos no funcionales.
   • Despliegue, Pruebas y Puesta en Producción
     • Automatizar el despliegue seguro de la aplicación, interfaces y todo componente, incluyendo las autorizaciones requeridas.
     • Probar las funciones técnicas, integración a la arquitectura de TI, y coordinar pruebas de funciones de negocio.
     • Crear casos de “uso” y de “abuso” tanto desde el punto de vista netamente técnico como del negocio.
     • Administrar pruebas de seguridad de acuerdo a los procesos internos, las necesidades de protección y el nivel de amenazas asumido para la aplicación.
   • Operación y Gestión del cambio
     • Aumentar la conciencia de seguridad de los usuarios y administrar conflictos de usabilidad vs seguridad.
     • Panificar y gestionar cambios, por ejemplo la migración a nuevas versiones de la aplicación u otros componentes como sistema operativo, interfaces de software y bibliotecas.