Curso de El Paisaje de Codificación Segura

Android es una plataforma abierta para dispositivos móviles como teléfonos y tabletas. Tiene una amplia variedad de características de seguridad para facilitar el desarrollo de software seguro; sin embargo, también falta ciertos aspectos de seguridad que están presentes en otras plataformas portátiles. El curso proporciona un panorama completo de estas características y señala las deficiencias más críticas a tener en cuenta relacionadas con la infraestructura subyacente Linux, el sistema de archivos y el entorno general, así como respecto al uso de permisos y otros componentes del desarrollo de software de Android.

Se describen los errores y vulnerabilidades típicos de seguridad tanto para código nativo como para aplicaciones Java, junto con recomendaciones y mejores prácticas para evitar y mitigarlos. En muchos casos, se apoya en ejemplos y estudios de casos de la vida real. Finalmente, proporcionamos una breve visión general sobre cómo usar herramientas de prueba de seguridad para revelar cualquier error de programación relevante.

Los participantes que asistan a este curso aprenderán:

• Comprender conceptos básicos de seguridad, seguridad de TI y codificación segura
• Aprender las soluciones de seguridad en Android
• Aprender a utilizar diversas características de seguridad de la plataforma Android
• Obtener información sobre algunas vulnerabilidades recientes en Java en Android
• Aprender acerca de errores de codificación típicos y cómo evitarlos
• Comprender las vulnerabilidades de código nativo en Android
• Realizar la gravedad de las consecuencias de un manejo inseguro de búferes en el código nativo
• Entender las técnicas de protección arquitectónica y sus debilidades
• Obtener fuentes y lecturas adicionales sobre prácticas de codificación segura

Público Objetivo

Profesionales

La implementación de una aplicación en red segura puede ser difícil, incluso para los desarrolladores que pueden haber utilizado varios bloques de construcción criptográficos (como el cifrado y las firmas digitales) de antemano. Con el fin de que los participantes comprendan el papel y el uso de estas primitivas criptográficas, primero se proporciona una base sólida sobre los principales requisitos de la comunicación segura (reconocimiento seguro, integridad, confidencialidad, identificación remota y anonimato), al tiempo que se presentan los problemas típicos que pueden dañar estos requisitos junto con soluciones del mundo real.

Dado que la criptografía es un aspecto crítico de la seguridad de la red, también se analizan los algoritmos criptográficos más importantes en criptografía simétrica, hashing, criptografía asimétrica y concordancia de claves. En lugar de presentar una base matemática en profundidad, estos elementos se analizan desde la perspectiva de un desarrollador, mostrando ejemplos de casos de uso típicos y consideraciones prácticas relacionadas con el uso de las criptomonedas, como las infraestructuras de clave pública. Se introducen los protocolos de seguridad en muchas áreas de la comunicación segura, con un análisis en profundidad de las familias de protocolos más utilizadas, como IPSEC y SSL/TLS.

Se discuten las vulnerabilidades típicas de las criptomonedas tanto relacionadas con ciertos algoritmos de criptografía como con protocolos criptográficos, como BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE y similares, así como el ataque de sincronización RSA. En cada caso, se describen las consideraciones prácticas y las posibles consecuencias de cada problema, de nuevo, sin entrar en detalles matemáticos profundos.

Por último, dado que la tecnología XML es fundamental para el intercambio de datos por parte de aplicaciones en red, se describen los aspectos de seguridad de XML. Esto incluye el uso de XML dentro de los servicios web y los mensajes SOAP junto con medidas de protección como la firma XML y el cifrado XML, así como las debilidades en esas medidas de protección y los problemas de seguridad específicos de XML, como la inyección XML, los ataques de entidad externa (XXE), las bombas XML y la inyección XPath.

Los participantes que asistan a este curso podrán:

• Comprender los conceptos básicos de seguridad, seguridad informática y codificación segura.
• Comprender los requisitos de la comunicación segura
• Más información sobre los ataques y defensas de red en diferentes capas de OSI
• Tener una comprensión práctica de la criptografía
• Comprender los protocolos de seguridad esenciales
• Comprender algunos ataques recientes contra criptosistemas
• Obtenga información sobre algunas vulnerabilidades relacionadas recientes
• Comprender los conceptos de seguridad de los servicios web
• Obtenga fuentes y lecturas adicionales sobre prácticas de codificación segura

Audiencia

Desarrolladores, Profesionales

Este curso de tres días cubre los aspectos básicos de la protección del código C / C++ contra los usuarios malintencionados que pueden explotar muchas vulnerabilidades en el código con la administración de la memoria y el manejo de la información. El curso cubre los principios de escritura de código seguro.

Incluso los programadores experimentados de Java no dominan por completo todos los servicios de seguridad ofrecidos por Java, y tampoco están al tanto de las diferentes vulnerabilidades relevantes para las aplicaciones web escritas en Java.

El curso – además de introducir los componentes de seguridad de la Edición Estándar Java – se ocupa de los problemas de seguridad de la Edición Enterprise de Java (JEE) y servicios web. La discusión sobre servicios específicos se precede con las bases de la criptografía y la comunicación segura. Varios ejercicios tratan sobre técnicas de seguridad declarativas y programáticas en JEE, mientras que tanto la seguridad de capa de transporte como la seguridad punto a punto de los servicios web son discutidas. El uso de todos los componentes se presenta a través de varios ejercicios prácticos, donde los participantes pueden probar las APIs y herramientas discutidas por sí mismos.

El curso también aborda y explica los errores de programación más frecuentes y graves del lenguaje y plataforma Java y vulnerabilidades relacionadas con la web. Además de los típicos errores cometidos por los programadores de Java, las vulnerabilidades introducidas cubren tanto problemas específicos del lenguaje como problemas que surgen del entorno de ejecución. Todas las vulnerabilidades y los ataques relevantes se demuestran a través de ejercicios fáciles de entender, seguidos por las pautas de codificación recomendadas y las técnicas posibles de mitigación.

Los participantes que asistan a este curso podrán

• Comprender los conceptos básicos de seguridad, seguridad informática y codificación segura
• Aprender sobre vulnerabilidades web más allá del Top Ten OWASP y saber cómo evitarlas
• Comprender los conceptos de seguridad de servicios web
• Aprender a utilizar diversas características de seguridad del entorno de desarrollo Java
• Tener un entendimiento práctico de la criptografía
• Comprender las soluciones de seguridad de Java EE
• Aprender sobre errores típicos de codificación y cómo evitarlos
• Obtener información sobre algunas vulnerabilidades recientes en el marco Java
• Adquirir conocimientos prácticos en el uso de herramientas de prueba de seguridad
• Obtener fuentes y lecturas adicionales sobre las prácticas de codificación segura

Público objetivo

Desarrolladores

Descripción

El lenguaje Java y el Runtime Environment (JRE) se diseñaron para estar libres de las vulnerabilidades de seguridad comunes más problemáticas experimentadas en otros lenguajes, como C / C++ . Sin embargo, los desarrolladores y arquitectos de software no solo deben saber cómo usar las diversas características de seguridad del entorno Java (seguridad positiva), sino que también deben ser conscientes de las numerosas vulnerabilidades que aún son relevantes para el desarrollo de Java (seguridad negativa).

La introducción de los servicios de seguridad va precedida de una breve descripción de los fundamentos de la criptografía, que proporciona una línea de base común para comprender el propósito y el funcionamiento de los componentes aplicables. El uso de estos componentes se presenta a través de varios ejercicios prácticos, donde los participantes pueden probar las API discutidas por sí mismos.

El curso también explica y explica las fallas de programación más frecuentes y graves del lenguaje y la plataforma Java , cubriendo los errores típicos cometidos por los programadores de Java y los problemas específicos del lenguaje y el entorno. Todas las vulnerabilidades y los ataques relevantes se demuestran a través de ejercicios fáciles de entender, seguidos de las pautas de codificación recomendadas y las posibles técnicas de mitigación.

Los participantes que asistan a este curso

• Comprender los conceptos básicos de seguridad, seguridad de TI y codificación segura
• Conozca las vulnerabilidades web más allá de OWASP Top Ten y sepa cómo evitarlas
• Aprenda a usar varias funciones de seguridad del Java desarrollo de Java
• Tener una comprensión práctica de la criptografía.
• Aprenda sobre los errores de codificación típicos y cómo evitarlos
• Obtenga información sobre algunas vulnerabilidades recientes en el marco de Java
• Obtenga fuentes y lecturas adicionales sobre prácticas de codificación seguras

Audiencia

Desarrolladores

Una serie de lenguajes de programación están disponibles en la actualidad para compilar código para los frameworks .NET y ASP.NET. El entorno proporciona medios poderosos para el desarrollo de la seguridad, pero los desarrolladores deben saber cómo aplicar las técnicas de programación de arquitectura y nivel de codificación para implementar la funcionalidad de seguridad deseada y evitar vulnerabilidades o limitar su explotación.

El objetivo de este curso es enseñar a los desarrolladores a través de numerosos ejercicios prácticos sobre cómo evitar que los códigos no confiables realicen acciones privilegiadas, proteger los recursos a través de una autenticación y autorización sólidas, proporcionar llamadas a procedimientos remotos, manejar sesiones, introducir diferentes implementaciones para ciertas funciones y muchos Más.

La introducción de diferentes vulnerabilidades comienza con la presentación de algunos problemas de programación típicos cometidos cuando se usa .NET, mientras que la discusión de las vulnerabilidades de ASP.NET también trata con varias configuraciones del entorno y sus efectos. Finalmente, el tema de las vulnerabilidades específicas de ASP.NET no solo trata con algunos desafíos generales de seguridad de la aplicación web, sino también con problemas especiales y métodos de ataque como atacar el ViewState o los ataques de terminación de cadena.

Los participantes que asistan a este curso

• Comprender los conceptos básicos de seguridad, seguridad de TI y codificación segura.
• Conozca las vulnerabilidades de la Web más allá del Top Ten de OWASP y sepa cómo evitarlas.
• Aprenda a usar varias características de seguridad del entorno de desarrollo .NET
• Obtenga conocimiento práctico en el uso de herramientas de pruebas de seguridad
• Aprende sobre los errores típicos de codificación y cómo evitarlos.
• Obtenga información sobre algunas vulnerabilidades recientes en .NET y ASP.NET
• Obtenga fuentes y lecturas adicionales sobre prácticas de codificación seguras

Audiencia

Desarrolladores

El curso proporciona habilidades esenciales para los desarrolladores de PHP necesarias para hacer que sus aplicaciones sean resistentes a los ataques contemporáneos a través de Internet. Se discuten las vulnerabilidades web mediante ejemplos basados en PHP, superando el Top Ten de OWASP, abordando diversos ataques de inyección, inyecciones de scripts, ataques contra la gestión de sesiones de PHP, referencias directas a objetos no seguras, problemas con el cargue de archivos y muchos otros. Se introducen las vulnerabilidades relacionadas con PHP agrupándolas en los tipos estándar de vulnerabilidades como falta o uso incorrecto de la validación de entrada, manejo incorrecto de errores y excepciones, uso inadecuado de características de seguridad y problemas relacionados con el tiempo y el estado. Para este último punto, se discuten ataques como la circunvalación de open_basedir, denegación de servicio a través del float mágico o el ataque por colisión en la tabla hash. En todos los casos, los participantes se familiarizarán con las técnicas y funciones más importantes para mitigar los riesgos enlistados.

Se da un enfoque especial a la seguridad del lado del cliente abordando problemas de seguridad de JavaScript, Ajax y HTML5. Se introducen una serie de extensiones relacionadas con la seguridad para PHP, como hash, mcrypt y OpenSSL para criptografía, o Ctype, ext/filter y HTML Purifier para validación de entrada. Se presentan las mejores prácticas de fortalecimiento en conexión con la configuración de PHP (ajuste de php.ini), Apache y el servidor en general. Finalmente, se proporciona un panorama de diversas herramientas y técnicas de pruebas de seguridad que los desarrolladores y probadores pueden usar, incluyendo escáneres de seguridad, pruebas de penetración y paquetes de explotaciones, sniffers, servidores proxy, herramientas de fuzzing y analizadores estáticos de código fuente.

Tanto la introducción de vulnerabilidades como las prácticas de configuración están respaldadas por una serie de ejercicios prácticos que demuestran las consecuencias de los ataques exitosos, mostrando cómo aplicar técnicas de mitigación e introduciendo el uso de diversas extensiones y herramientas.

Los participantes que asistan a este curso podrán

• Comprender los conceptos básicos de seguridad, seguridad informática y codificación segura
• Aprender sobre vulnerabilidades web más allá del Top Ten de OWASP y saber cómo evitarlas
• Aprender sobre vulnerabilidades del lado del cliente y prácticas de codificación segura
• Tener un entendimiento práctico de la criptografía
• Aprender a usar diversas características de seguridad de PHP
• Saber sobre errores típicos de codificación y cómo evitarlos
• Estar informados sobre vulnerabilidades recientes del marco de trabajo PHP
• Tener conocimientos prácticos en el uso de herramientas de pruebas de seguridad
• Obtener fuentes y lecturas adicionales sobre prácticas de codificación segura

Público objetivo

Desarrolladores

La capacitación principal de SDL combinado ofrece una perspectiva del diseño, desarrollo y prueba de software seguro a través del ciclo de vida de desarrollo seguro de Microsoft (SDL). Proporciona una descripción general del nivel 100 de los bloques de construcción fundamentales de SDL, seguido de técnicas de diseño para aplicar y detectar fallas en las primeras etapas del proceso de desarrollo.

En relación con la fase de desarrollo, el curso ofrece una descripción general de los errores típicos de programación relevantes para la seguridad de los códigos administrados y nativos. Los métodos de ataque se presentan para las vulnerabilidades comentadas junto con las técnicas de mitigación asociadas, todas explicadas a través de una serie de ejercicios prácticos que brindan diversión en vivo para los participantes. La introducción de diferentes métodos de prueba de seguridad es seguida demostrando la efectividad de varias herramientas de prueba. Los participantes pueden entender el funcionamiento de estas herramientas a través de una serie de ejercicios prácticos aplicando las herramientas al código vulnerable ya discutido.

Los participantes que asistan a este curso podrán:

Comprender conceptos básicos de seguridad, seguridad informática y codificación segura

Familiarizarse con los pasos esenciales del Ciclo de Vida de Desarrollo Seguro Microsoft

Aprender prácticas de diseño y desarrollo seguro

Conocer principios de implementación segura

Comprender la metodología de prueba de seguridad

• Obtener fuentes y lecturas adicionales sobre prácticas de codificación segura

Audiencia

Desarrolladores, Gerentes

Después de familiarizarse con las vulnerabilidades y los métodos de ataque, los participantes aprenden sobre el enfoque general y la metodología para pruebas de seguridad, y las técnicas que se pueden aplicar para revelar vulnerabilidades específicas. Las pruebas de seguridad deben comenzar recolectando información sobre el sistema (ToC, es decir, Objetivo de Evaluación), luego un modelo de amenazas exhaustivo debe revelar y calificar todas las amenazas, llegando a un plan de prueba dirigido por el análisis de riesgos más apropiado.

Las evaluaciones de seguridad pueden ocurrir en varios pasos del ciclo de vida del desarrollo de software (SDLC), por lo que discutimos la revisión de diseño, la revisión de código, la exploración y recolección de información sobre el sistema, pruebas de implementación y fortalecimiento del entorno para una implementación segura. Se presentan en detalle muchas técnicas de prueba de seguridad, como análisis de taint y revisión de código basada en heurísticas, análisis estático de código, prueba dinámica de vulnerabilidades web o fuzzing. Se introducen varios tipos de herramientas que se pueden aplicar para automatizar la evaluación de seguridad de productos de software, lo cual también se apoya con una serie de ejercicios donde ejecutamos estas herramientas para analizar el código vulnerable ya discutido. Muchos estudios de casos reales respaldan una mejor comprensión de diversas vulnerabilidades.

Este curso prepara a los testers y personal de QA para planificar adecuadamente y ejecutar con precisión pruebas de seguridad, seleccionar y usar las herramientas y técnicas más apropiadas para encontrar incluso fallos de seguridad ocultos, proporcionando así habilidades prácticas esenciales que se pueden aplicar al siguiente día laboral.

Los participantes en este curso aprenderán a

• Comprender los conceptos básicos de la seguridad, la seguridad de TI y el codificación segura
• Aprender vulnerabilidades web más allá del OWASP Top Ten y saber cómo evitarlas
• Aprender sobre vulnerabilidades del lado del cliente y prácticas de codificación segura
• Comprender los enfoques y metodologías para pruebas de seguridad
• Obtener conocimientos prácticos en el uso de técnicas y herramientas de prueba de seguridad
• Tener fuentes y lecturas adicionales sobre prácticas de codificación segura

Público objetivo

Desarrolladores, Testers

La protección de las aplicaciones a las que se puede acceder a través de la web requiere un profesional de seguridad bien preparado que esté al tanto de los métodos y tendencias de ataque actuales. Existe una gran cantidad de tecnologías y entornos que permiten el desarrollo cómodo de aplicaciones web. Uno no solo debe ser consciente de los problemas de seguridad relevantes para estas plataformas, sino también de todas las vulnerabilidades generales que se aplican independientemente de las herramientas de desarrollo utilizadas.

El curso ofrece una descripción general de las soluciones de seguridad aplicables en aplicaciones web, con un enfoque especial en la comprensión de las soluciones criptográficas más importantes que deben aplicarse. Las diversas vulnerabilidades de las aplicaciones web se presentan tanto en el lado del servidor (siguiendo el Top Ten de OWASP ) como en el lado del cliente, se demuestran a través de los ataques relevantes y siguen las técnicas de codificación y los métodos de mitigación recomendados para evitar los problemas asociados. El tema de la codificación segura se concluye al analizar algunos errores típicos de programación relevantes para la seguridad en el dominio de la validación de entradas, el uso incorrecto de las funciones de seguridad y la calidad del código.

Las pruebas desempeñan un papel muy importante para garantizar la seguridad y la solidez de las aplicaciones web. Se pueden aplicar varios enfoques, desde auditorías de alto nivel a través de pruebas de penetración hasta pirateos éticos, para encontrar vulnerabilidades de diferentes tipos. Sin embargo, si desea ir más allá de las frutas fáciles de encontrar, las pruebas de seguridad deben estar bien planificadas y ejecutadas correctamente. Recuerde: los evaluadores de seguridad deberían encontrar idealmente todos los errores para proteger un sistema, mientras que para los adversarios es suficiente encontrar una vulnerabilidad explotable para penetrar en él.

Los ejercicios prácticos ayudarán a comprender las vulnerabilidades de las aplicaciones web, los errores de programación y, lo que es más importante, las técnicas de mitigación, junto con las pruebas prácticas de diversas herramientas de prueba de escáneres de seguridad, a través de sniffers, servidores proxy, herramientas de fuzzing para analizadores de código fuente estáticos. Habilidades prácticas esenciales que se pueden aplicar al día siguiente en el lugar de trabajo.

Los participantes que asistan a este curso

• Comprender los conceptos básicos de seguridad, seguridad de TI y codificación segura.
• Conozca las vulnerabilidades de la Web más allá del Top Ten de OWASP y sepa cómo evitarlas.
• Aprenda las vulnerabilidades del lado del cliente y las prácticas de codificación seguras.
• Tener una comprensión práctica de la criptografía.
• Comprender los enfoques y metodologías de las pruebas de seguridad.
• Obtenga conocimientos prácticos sobre el uso de técnicas y herramientas de pruebas de seguridad.
• Manténgase informado sobre las vulnerabilidades recientes en diversas plataformas, marcos y bibliotecas
• Obtenga fuentes y lecturas adicionales sobre prácticas de codificación seguras

Audiencia

Desarrolladores, Testers

En este curso en vivo dirigido por un instructor en Uruguay, los participantes aprenderán a formular la estrategia de seguridad adecuada para enfrentar el desafío de seguridad DevOps.

EC-Council Certified DevSecOps Engineer (ECDE) es un curso práctico diseñado para equipar a los profesionales con las habilidades necesarias para integrar la seguridad en todo el ciclo de vida DevOps, permitiendo el desarrollo seguro del software desde la planificación hasta el despliegue.

Esta formación en vivo dirigida por un instructor (en línea o presencial) está orientada a profesionales intermedios de software y DevOps que desean integrar prácticas de seguridad en las pipelines CI/CD, garantizando la entrega segura y conforme del código.

Al finalizar esta formación, los participantes podrán:

• Comprender los principios y prácticas de DevSecOps.
• Seguridad en cada etapa de las pipelines CI/CD utilizando herramientas automatizadas.
• Implementar prácticas de codificación segura y escaneo de vulnerabilidades.
• Prepararse para la certificación ECDE con laboratorios prácticos y repaso.

Formato del Curso

• Conferencia interactiva y discusión.
• Uso práctico de herramientas DevSecOps en pipelines simuladas.
• Ejercicios guiados enfocados en el desarrollo y despliegue seguro.

Opciones de Personalización del Curso

• Para solicitar una formación personalizada para este curso basada en los flujos de trabajo o cadena de herramientas de su equipo, por favor contáctenos para organizarlo.

Este curso en Uruguay tiene como objetivo ayudar en lo siguiente:

1. Ayuda a los desarrolladores a dominar las técnicas de escritura Secure Code
2. Ayude a los probadores de software a probar la seguridad de la aplicación antes de publicarla en el entorno de producción
3. Ayudar a los arquitectos de software a comprender los riesgos que rodean a las aplicaciones
4. Ayudar a los líderes de equipo a establecer las líneas base de seguridad para los desarrolladores
5. Ayude a los Web Masters a configurar los servidores para evitar errores de configuración

Este curso cubre los conceptos y principios de codificación segura con Java a través de la metodología de prueba del Proyecto de seguridad de aplicaciones web abiertas (OWASP). El Proyecto de seguridad de aplicaciones web abiertas es una comunidad en línea que crea artículos, metodologías, documentación, herramientas y tecnologías disponibles gratuitamente en el campo de la seguridad de aplicaciones web.

Este curso cubre los conceptos y principios de codificación segura con ASP.net a través de la metodología de prueba Open Web Application Security Project (OWASP), OWASP es una comunidad en línea que crea artículos, metodologías, documentación, herramientas y tecnologías disponibles gratuitamente en el campo de la seguridad de aplicaciones web. 

Este curso explora las características de seguridad de Dot Net Framework y cómo proteger las aplicaciones web.