Eventos

OWASP Desarrollo Seguro: práctica orientada a prevención de OWASP Top 10

Actividad arancelada a través de la plataforma online aula 25

Requisitos previos: Conocimiento básico sobre análisis de sistemas y programación.
Informes e inscripciones: aula25@sanfrancisco.utn.edu.ar

 

 

Fecha y hora: 1, 6, 8, 13, 15 de octubre de 19 a 21 hs - Horario de Argentina (UTC-03:00)
Duración: 10 horas de clases teóricas + 6 horas de ejercitación práctica
Docente: Lic. Cristian Borghello
Audiencia: El curso está orientado a desarrolladores, administradores de bases de datos, líderes de proyecto, analistas de sistemas y personas vinculadas al análisis, diseño, arquitectura y desarrollo de aplicaciones, así como a los responsables de seguridad de la información de la organización.
Objetivos:

Este curso está orientado a conocer las 10 vulnerabilidades consideradas críticas por OWASP así como la forma de analizarlas, explotarlas y solucionarlas desde el inicio hasta la implementación de cualquier proyecto de desarrollo de aplicaciones.

Finalizado el curso, el asistente será capaz de:

• Conocer y entender las 10 vulnerabilidades consideradas críticas por OWASP
• Entender las amenazas y vulnerabilidades a las que está expuesta cualquier aplicación 
• Reconocer y detectar de manera proactiva las falencias del desarrollo de las aplicaciones
• Identificar vulnerabilidades en aplicaciones en forma manual y con herramientas
• Aplicar las contramedidas necesarias para aumentar la seguridad de las aplicaciones

Material a entregar: Presentaciones utilizadas durante el curso en formato digital.

 

 

Temario:

Estado en la seguridad del software - Teórico

• Principios del diseño de software seguro
• Conceptos generales sobre el desarrollo de aplicaciones web
• OWASP Top 10, CWE y SANS Top 20
• Revisión de Guía de desarrollo de OWASP 
• Revisión de Open Source Security Testing Methodology Manual  (OSSTMM) 

Análisis de vulnerabilidades del Top 10 de OWASP – Teórico - Práctico

• Testing Black y White Box 
• Tipos de validaciones
• A1. Ataques de inyección
  • Comandos de sistema operativo
  • SQL Injection y Blind SQL Injection
  • LDAP
  • Xpath y JSON 
• Prevención de inyecciones
• A2. Pérdida de autenticación y gestión de sesiones
  • Cookies inseguras 
  • Validación de sesión y pérdida de autenticación (Session Fixation)
• A3. Cross-site Scripting (XSS)
  • Tipos y definiciones
  • Técnicas de inyección de script
  • Codificación y ofuscamiento
• A4. Referencia insegura directa a objetos
  • Redirecciones y restricciones de acceso 
  • Rutas por defecto e inseguras 
  • Path traversal  
  • Codificación y uso de Null bytes
• A5. Configuración de seguridad incorrecta
  • Directorios por defecto 
  • Archivos de configuración 
  • Backups 
  • Base de datos
• A6. Exposición de datos sensibles
  • Validación de capa de transporte  
  • Almacenamiento criptográfico inseguro 
  • Protección insuficiente en la capa de transporte 
  • Riesgos de exposición de datos sensibles en el navegador
• A7. Ausencia de control de acceso a funciones 
• A8. Falsificación de petición - Cross_Site_Request_Forgery (CSRF)
• A9. Uso de componentes con vulnerabilidades conocidas
  • Certificados digitales  
  • Protocolo HTTPS 
  • Configuración defectuosa de seguridad  
• A10. Redirecciones y reenvíos no validados

Prácticas (detección de vulnerabilidades e informe)

• Autenticación
• SQL injection
• XSS

Para inscribirse  al evento completar el formulario a continuación y se le darán las posibilidades para abonar el mismo

Puede realizar todas las cosultas que desee mediante el widget presentado para tal fin en la esquina inferior derecha.