Application Security Verification Standard

Application Security Verification Standard

1. V1: Arquitectura, Diseño y Modelo de Amenazas

   • Conceptos principales:
     • V1.1: Ciclo de Vida de Desarrollo de Software Seguro. V1.2: Arquitectura de Autenticación. V1.3: Arquitectura de Gestión de Sesiones. V1.4: Arquitectura de Control de Acceso. V1.5: Arquitectura de Entradas y Salidas. V1.6: Arquitectura Criptográfica. V1.7: Arquitectura de Errores, Logging y Auditoría. V1.8: Arquitectura de Protección de Datos y Privacidad. V1.9: Arquitectura de Comunicaciones. V1.10: Arquitectura de Software Malicioso. V1.11: Arquitectura de la Lógica de Negocio. V1.12: Arquitectura de Carga Segura de Archivos. V1.13: Arquitectura de API. V1.14: Arquitectura de Configuración.
       • Todos estos procesos son necesarios para la arquitectura y el diseño de la aplicación web.

2. V2: Autenticación

   • Conceptos principales
     • V2.1: Seguridad de Contraseña. V2.2: Seguridad General del Autenticador. V2.3: Ciclo de Vida del Autenticador. V2.4: Almacenamiento de Credenciales. V2.5: Recuperación de Credenciales. V2.6: Verificador de Secretos de Look-up. V2.7: Verificador Fuera de Banda. V2.8: Verificador de Una Sola Vez. V2.9: Verificador Criptográfico. V2.10: Autenticación de Servicio.

3. V3: Gestión de sesiones

   • Conceptos principales:
     • V3.1: Seguridad Fundamental en la Gestión de Sesiones. V3.2: Binding de Sesión. V3.3: Terminación de Sesión. V3.4: Gestión de Sesión Basada en Cookie. V3.5: Administración de Sesiones Basada en Tokens. V3.6: Reautenticación Federada. V3.7: Defensas Contra las Vulnerabilidades de Gestión de Sesiones. Descripción del Ataque semi-abierto.

4. V4: Control de acceso

   • Conceptos principales:
     • V4.1 Diseño de Control de Acceso General. V4.2 Control de Acceso a Nivel de Operación. V4.3 Otras Consideraciones de Control de Acceso.

5. V5: Validación, Desinfección y Codificación

   • Conceptos principales:
     • V5.1: Validación de Entrada. V5.2: Requisitos de Sanitización y Sandboxing. V5.3: Codificación de Salida y Prevención de Inyección. V5.4: Memoria, Cadena y Código No Administrado. V5.5: Prevención de Deserialización.

6. V6: Criptografía almacenada

   • Conceptos principales:
     • V6.1: Clasificación de Datos. V6.2: Algoritmos. V6.3: Valores Aleatorios. V6.4: Gestión de Secretos.

7. V7: Manejo y Registro de Errores

   • Conceptos principales:
     • V7.1: Contenido de Registro de Log. V7.2: Procesamiento del Log. V7.3: Protección de Logs. V7.4: Control de Errores.

8. V8: Protección de Datos

   • Conceptos principales:
     • V8.1: Protección General de Datos. V8.2: Protección de datos del lado del cliente. V8.3: Datos Privados Confidenciales.

9. V9: Comunicación

   • Conceptos principales:
     • V9.1: Seguridad de la Comunicación del Cliente. V9.2: Seguridad de la Comunicación del Servidor.

10. V10: Código Malicioso

    • Conceptos principales:
      • V10.1: Integridad de Código. V10.2: Búsqueda de Código Malicioso. V10.3: Integridad de Aplicación.

11. V11: lógica de negocio

    • Conceptos principales:
      • V11.1: Seguridad de la lógica de negocio.

12. V12: Archivos y recursos.

    • Conceptos principales:
      • V12.1: Carga de Archivos. V12.2: Integridad de Archivos. V12.3: Ejecución de Archivos. V12.4: Almacenamiento de Archivos. V12.5: Descarga de Archivos. V12.6: Protección SSRF.

13. V13: API y Servicios Web

    • Conceptos principales:
      • V13.:1 Seguridad Genérica de Servicios Web. V13.2: Servicio Web RESTful. V13.3 Servicio Web SOAP. V13.4: GraphQL.

14. V14: Configuración

    • Conceptos principales:
      • V14.1: Compilación y Despliegue. V14.2 Dependencias. V14.3: Divulgación de Seguridad Involuntaria. V14.4: Encabezados de Seguridad HTTP. V14.5: Validación de Encabezado de Solicitud HTTP.