ASVS

ASVS

1. CONTROLES

   • V1: Requisitos de arquitectura, diseño y modelado de amenazas
     • OBJETIVO:Asegurar que una aplicación verificada satisfaga los requisitos de alto nivel
   • V2: Requisitos de verificación de autenticación
     • OBJETIVO: *Verifica la identidad digital del remitente de una comunicación. • *Asegura que sólo los usuarios autorizados son capaces de autenticarse.
   • V3: Requisitos de verificación de la gestión de sesiones
     • OBJETIVO: Manejo de sesiones y se define como el conjunto de todos los controles que rigen el estado completo de interacción entre un usuario y la aplicación basada en la web
   • V4: Requisitos de verificación de control de acceso
     • OBJETIVO: Autorización es el concepto de permitir acceso a los recursos únicamente a aquellos que les ha sido permitido utilizarlos.
   • V5: Requisitos de validación, desinfección y codificación de verificación
     • OBJETIVO: La debilidad más común de seguridad de las aplicaciones web es la falla en validar apropiadamente el ingreso de datos que provienen del cliente o del ambiente antes de ser utilizada.
   • V6: Requisitos de verificación de criptografía almacenada
   • V7: Requisitos de manejo de errores y verificación de registro
     • OBJETIVO: Que todos los módulos criptográficos fallen de forma segura y que los errores sean gestionados correctamente. • Que se utilice un generador de números aleatorios adecuado cuando se requiere la aleatoriedad. • Que el acceso a claves se gestiona de forma segura.
   • V13: Requisitos de verificación de API y servicios web
     • OBJETIVO: *La actividad maliciosa se debe manejar con seguridad y adecuadamente para no afectar el resto de la aplicación. • No posee bombas de tiempo ni otros ataques basados en tiempo
   • V12: Requisitos de verificación de archivos y recursos
   • V11: Requisitos de verificación de lógica empresarial
     • OBJETIVO: El servidor de aplicaciones está convenientemente endurecido de una configuración preestablecida • Toda respuesta HTTP contiene su tipo de contenido establecido utilizando un conjunto de caracteres seguro.
   • V10: Requisitos de verificación de código malintencionado
     • OBJETIVO: Que se utilice TLS donde se transmite información sensible • Que se utilicen algoritmos y cifradores fuertes en todo momento.
   • V9: Requisitos de verificación de comunicaciones
     • OBJETIVO: Cumplir con la proteccion de datos elementos clave para la protección de datos: Confidencialidad, Integridad y Disponibilidad
   • V8: Requisitos de verificación de protección de datos
     • OBJETIVO: El objetivo principal de la gestión y registro de errores es proporcionar una reacción útil para los usuarios, administradores y equipos de respuesta a incidentes.
   • V14: Requisitos de verificación de configuración

2. NIVELES DE VERIFICACION

   • ASVS NIVEL 1
     • Es para niveles de bajo aseguramiento, y es completamente de penetración comprobable
   • ASVS NIVEL 2
     • Es para aplicaciones que contienen datos confidenciales, que requiere protección y es el nivel recomendado para la mayoría de las aplicaciones
   • ASVS NIVEL 3
     • Es para las aplicaciones más críticas: aplicaciones que realizan transacciones de alto valor, contienen datos médicos confidenciales o cualquier aplicación que requiera el nivel más alto de confianza.

Images and files in the map