Puesta en producción segura

Sinopsis del producto

Este libro tiene como objetivo que los lectores adquieran los conocimientos necesarios para la puesta en producción mediante el desarrollo de un sistema de despliegue de software seguro. La función de implantación de un sistema de despliegue seguro incluye aspectos como la monitorización de aplicaciones y dispositivos para detectar los vectores de ataque más comunes. Las actividades profesionales asociadas a esta función se aplican en el análisis de las aplicaciones web y dispositivos móviles así como en la configuración de servidores web. nCon un lenguaje didáctico se introduce al lector de forma secuencial en esta disciplina donde la teoría está acompañada de numerosos ejemplos prácticos y ejercicios resueltos lo que ayudará al lector a para poner en práctica los conceptos aprendidos. Para ello el libro se estructura de la siguiente forma: n nFundamentos para la puesta en producción segura nPrueba de aplicaciones web y para dispositivos móviles nDeterminación del nivel de seguridad requerido por las aplicaciones nDetección y corrección de vulnerabilidades de aplicaciones web nDetección de problemas de seguridad en aplicaciones para dispositivos móviles nImplantación de sistemas seguros de desplegado de software n nLos contenidos, además, han sido adaptados para los requeridos en el módulo profesional Puesta en Producción segura, que se engloba dentro del Curso de Especialización de Ciberseguridad en Entornos de las Tecnologías de la Información (Título LOE). n nTEMA 1:FUNDAMENTOS PARA LA PUESTA EN PRODUCCIÓN SEGURA nObjetivos nIntroducción n1. Introducción al control de versiones n2. Introducción a la virtualización ligera para desarrolladores n3. Orquestadores de contenedores nCasos práctico: Docker y Kubernetes nA.- Preparando el entorno nB.- Práctica nGlosario nBibliografía nResumen nRecursos adicionales n nTEMA 2: PRUEBA DE APLICACIONES WEB Y PARA DISPOSITIVOS MÓVILES nObjetivos nIntroducción n1.- Fundamentos de la programación n1.1.- Fundamentos de los lenguajes más utilizados I n1.2.- Fundamentos de los lenguajes más utilizados II n2.- Lenguajes de programación interpretados y compilados n2.1.- Compilación en tiempo de ejecución n3.- Código fuente y entornos de desarrollo n3.1. - Entornos de desarrollo n4.- Ejecución de software n5. -Elementos principales de un programa n6.- Pruebas n6.1.- Etapas o niveles de pruebas n6.1.1.- Pruebas unidad n6.1.2.- Pruebas de integración n6.1.3.- Pruebas de sistema n6.1.4.- Pruebas de aceptación n6.2.- Tipos de pruebas n6.2.1.- Pruebas funcionales n6.2.2.- Pruebas no funcionales n6.3.- Técnicas de prueba n6.3.1.- Pruebas de caja negra n6.3.2.- Pruebas de caja blanca n7. -Seguridad en los lenguajes de programación y sus entornos de ejecución (sandboxes). nCaso prácticos nA.- Preparando el entorno nB.- Desarrollando el software nC.- Probando el software nD.- Ampliación nGlosario nBibliografía nResumen nRecursos adicionales nTEMA 3: DETERMINACIÓN DEL NIVEL DE SEGURIDAD REQUERIDO POR LAS APLICACIONES nObjetivos nIntroducción n1.- Fuentes abiertas para el desarrollo seguro. n1.1.- Técnicas y herramientas n1.2.- Desarrollo seguro y fuentes abiertas. n2.- Listas de riesgos de seguridad habituales: OWASP Top Ten (web y móvil) n2.1.- Proyectos fundación OWASP. n2.2.- OWASP Top Ten Web. n2.3. -OWASP Top Ten Móvil. n3.- Requisitos de verificación necesarios asociados al nivel de seguridad establecido. n3.1. - Estándares para medir la calidad del software. n3.2. - Niveles de verificación. n3.3. - Estándar de Verificación de Seguridad en Aplicaciones (ASVS). n3.3.1. - Web Security Testing Guide. n3.3.2. - Mobile Security Testing Guide. n3.3.2.1. - Estándar de verificación de seguridad de aplicaciones móviles. (MASVS). n4.- Comprobaciones de seguridad a nivel de aplicación: ASVS . nCaso práctico: Práctica Web nA.- Preparando el entorno nB.- Práctica nGlosario nBibliografía nResumen nTEMA 4. DETECCIÓN Y CORRECCIÓN DE VULNERABILIDADES DE APLICACIONES WEB nObjetivos nIntroducción n1.- Protocolo http. n1.1.- Formato del mensaje http. n1.2.- Versiones del protocolo. n1.3. -Tecnologías Web. n2.-Desarrollo seguro de aplicaciones web. n3.- Listas públicas de vulnerabilidades de aplicaciones web. OWASP Top Ten. n3.1. - Inyección. n3.2. - Pérdida de autenticación. n3.3. - Exposición de datos sensibles. n3.4. - Entidades externas XML (XXE). n3.5. -Pérdida de Control de Acceso. n3.6. -Configuración de seguridad incorrecta. n3.7. - Cross-Site Scripting(XSS). n3.8. - Deserialización insegura. n3.9. - Componentes con vulnerabilidades conocidas. n3.10. - Registro y monitoreo insuficientes. n4.- Entrada basada en formularios. Inyección. Validación de la entrada. n4.1. - Validación en el cliente. n4.1.1.- Ejemplo práctico con Angular. n4.2. - Validación en el servidor. n4.2.1.- Ejemplo práctico con NodeJs n5. - Estándares de autenticación y autorización. n5.1. - Elementos de un sistema de autenticación y autorización básico. n5.2. - Estándares. n5.2.1. - Tokens JWT n5.2.1.1. - Ejemplo práctico con NodeJs. n5.2.2. - OAth. n6. - Robo de sesión. n7. - Almacenamiento seguro de contraseñas. n7.1.- Ejemplo almacenamiento seguro NodeJs. n8. - Contramedidas. HSTS, CSP, CAPTCHAs, entre otros. n8.1. - HSTS (http Strict Transport Security) n8.2. - CSP (Content Security Policy) n8.3. - CAPTCHAs n9. - Seguridad de portales y aplicativos web. Soluciones WAF(Web Application Firewall). nCaso práctico. nGlosario nBibliografía nResumen nTEMA 5. DETECCIÓN DE PROBLEMAS DE SEGURIDAD EN APLICACIONES PARA DISPOSITIVOS MÓVILES nObjetivos nIntroducción n1.- Modelos de permisos en plataformas móviles n1.1.- Android. n1.1.1.- Fichero Androidmanifest.xml n1.1.2.- Solicitando permisos n1.1.2.1.- Permisos de instalación o normales n1.1.2.2.- Permisos en tiempo de ejecución n1.1.3.- Estableciendo permisos n1.2.- iOS n2. - Firma y verificación de aplicaciones. n2.1.- Fundamentos criptográficos n2.2.- Android n2.3.- iOS n3.- Almacenamiento seguro de datos. n3.1.- MSTG para el almacenamiento seguro en Android. n3.1.1.- Análisis de MSTG-1 y 2 n3.2.- MSTG para almacenamiento seguro en iOS n4.- Fuga de información en los ejecutables n4.1. - Casos de prueba en Android n5.- Soluciones CASB (Cloud Access Security Broker). nGlosario nBibliografía nResumen nTEMA 6. IMPLANTACIÓN DE SISTEMAS SEGUROS DE DESPLEGADO DE SOFTWARE nObjetivos nIntroducción n1. - Prácticas unificadas para el desarrollo y operación del software (DevOps). n1.1.- Ciclo de vida de las aplicaciones. n1.2.- Prácticas n1.3.- Herramientas. n2.- Sistemas de control de versiones. n2.1.- Git. n2.1.1.- Instalación. n2.1.2.- Primeros pasos. n2.1.3.- Ramas. n2.1.4.- Trabajando en remoto. n2.1.5.- GitFlow n2.1.6.- Hook / Ganchos n3.- Sistemas de automatización de construcción (build). n3.1.- Construyendo un proyecto con Gradle n4.- Integración continua y automatización de pruebas. n5.- Escalado de servidores. Virtualización. Contenedores. n5.1.- Virtualización n5.2.- Contenedores n5.2.1.- Docker n5.2.1.1.- Instalación n5.2.1.2.- Descargando imágenes y creando contenedores n5.2.1.3.- Persistencia de datos nEjercicio resuelto n5.2.1.4.- Dockfile n6.- Gestión automatizada de configuración de sistemas. nEjercicio resuelto n7.- Orquestación de contenedores. n7.1.- Componentes de Kubernetes. n7.2.- Objetos Kubernetes. n8.- Herramientas de simulación de fallos. nGlosario nBibliografía nResumen nRecursos adicionales n nANNEXOS n n1. Prácticas propuestas n1.1. Soluciones n2. Diapositivas

9788418971952

Fernandez Riera, Maximo