Experto en ciberseguridad y DevSecOps: desarrolle, ponga a prueba e implemente aplicaciones seguras

Este capítulo cierra la sección dedicada a los principios de seguridad de las aplicaciones y al modelado de amenazas. Su objetivo es consolidar, mediante un mapa mental mental, todos los conceptos que has estudiado hasta ahora: los principios fundame...

RECORDATORIO TEÓRICO La puntuación de riesgos consiste en asignar un valor cuantificable a cada amenaza para poder priorizar las correcciones y las pruebas de seguridad. En los capítulos anteriores trabajaste con la metodología de calificación de rie...

En seguridad de aplicaciones, el tiempo y los recursos son siempre limitados. Nunca podrás probar ni corregir todo al mismo tiempo. Por eso necesitas una heurística: un conjunto de reglas prácticas y razonables que te ayuden a decidir qué corregir pr...

RECORDATORIO TEÓRICO La metodología de calificación de riesgos de OWASP (OWASP Risk Rating Methodology) permite transformar amenazas identificadas en una puntuación objetiva y comparable. El principio es simple: Riesgo = Probabilidad × Impacto. La pr...

En los capítulos anteriores aprendiste a identificar amenazas con STRIDE, a mapear la superficie de ataque y a construir una matriz de amenazas para un blog. Ahora surge una pregunta esencial: cuando se han detectado muchas amenazas, ¿por dónde empez...

RECORDATORIO TEÓRICO La superficie de ataque de una aplicación es el conjunto de todos los puntos por los que un atacante podría intentar entrar, extraer datos o alterar el sistema. Se compone de tres dimensiones principales: la superficie de red (pu...

La superficie de ataque de una aplicación representa el conjunto de todos los puntos por los que un atacante podría intentar entrar, extraer datos o alterar el funcionamiento del sistema. Dicho de forma sencilla: cuantos más puntos de entrada tenga u...

RECORDATORIO TEÓRICO La carga de archivos (file upload) es una de las funcionalidades más peligrosas de una aplicación web porque permite al usuario introducir datos arbitrarios en el servidor. Recuerda los pilares que ya has trabajado: la tríada CIA...

Introducción al caso En este capítulo analizamos un incidente de seguridad real (reconstruido con fines pedagógicos) provocado por la ausencia del principio de privilegio mínimo. Este principio establece que cada usuario, servicio, proceso o componen...

RECORDATORIO TEÓRICO El diseño seguro (Secure by Design) consiste en integrar la seguridad desde la concepción de una aplicación, y no como un parche posterior. Se apoya en principios universales que guían las decisiones de arquitectura y desarrollo....

Los principios de diseño seguro son reglas fundamentales que guían la construcción de aplicaciones robustas frente a los ataques. Después de haber estudiado el modelado de amenazas con el método STRIDE y los diagramas de flujo de datos, es hora de ap...

## Contexto A lo largo de este capítulo has aprendido a identificar componentes y activos, a aplicar la tríada CIA (Confidencialidad, Integridad, Disponibilidad), a utilizar el método STRIDE, a construir Diagramas de Flujo de Datos (DFD) y a cruzar e...

Recordatorio teórico: El modelado de amenazas consiste en anticipar cómo un atacante podría comprometer una aplicación antes de que sea explotada en producción. El método STRIDE, creado por Microsoft, clasifica las amenazas en seis categorías: Spoofi...

RECORDATORIO TEÓRICO Un Diagrama de Flujo de Datos (DFD) es una representación gráfica que muestra cómo circulan los datos dentro de una aplicación: quién los produce, por dónde pasan, dónde se almacenan y quién los consume. Es la base visual del mod...

El Diagrama de Flujo de Datos, conocido en inglés como Data Flow Diagram y abreviado como DFD, es una representación visual que muestra cómo circula la información dentro de una aplicación o sistema. En el contexto del modelado de amenazas que ya emp...

RECORDATORIO TEÓRICO STRIDE es un método de modelado de amenazas creado por Microsoft que ayuda a identificar sistemáticamente los riesgos de seguridad de un sistema. Su nombre es un acrónimo de seis categorías de amenazas: Spoofing (suplantación de ...

RECORDATORIO TEÓRICO STRIDE es un método de modelado de amenazas que clasifica los riesgos en seis categorías: Spoofing (suplantación de identidad), Tampering (manipulación de datos), Repudiation (repudio o negación de acciones), Information Disclosu...

El método STRIDE es un marco de modelado de amenazas creado por Microsoft para ayudar a los equipos de desarrollo y seguridad a identificar de forma sistemática las amenazas que pueden afectar a una aplicación. Su nombre es un acrónimo formado por la...

RECORDATORIO TEÓRICO Descomponer una aplicación en componentes es el primer paso indispensable del modelado de amenazas. Un componente es una parte identificable del sistema que cumple una función concreta: una interfaz de usuario, un servidor de apl...

El modelado de amenazas es una actividad estructurada que consiste en analizar una aplicación, un sistema o un servicio para identificar de forma anticipada qué podría salir mal desde el punto de vista de la seguridad. En lugar de esperar a que un at...

RECORDATORIO TEÓRICO El OWASP Top 10 es una lista de referencia que clasifica las diez categorías de riesgos de seguridad más críticas para las aplicaciones web. Cada categoría (por ejemplo A01: Broken Access Control, A03: Injection, A07: Identificat...

El Proyecto Abierto de Seguridad de Aplicaciones Web, conocido por sus siglas en inglés como OWASP (Open Worldwide Application Security Project), es una organización sin ánimo de lucro que reúne a expertos de todo el mundo con un objetivo común: mejo...

Recordatorio teórico La tríada CIA (Confidencialidad, Integridad y Disponibilidad) es el modelo mental fundamental para evaluar la seguridad de cualquier activo. La Confidencialidad garantiza que solo las personas autorizadas accedan a la información...

En el modelado de amenazas, uno de los primeros pasos consiste en identificar y describir con precisión a las personas o entidades que interactúan con una aplicación. Para ello utilizamos dos conceptos que a menudo se confunden pero que tienen signif...

La tríada CIA es el modelo fundamental de la seguridad de la información. Sus tres letras corresponden a tres propiedades esenciales que todo sistema, aplicación o dato debe preservar: Confidencialidad (Confidentiality), Integridad (Integrity) y Disp...