Experto en ciberseguridad y DevSecOps: desarrolle, ponga a prueba e implemente aplicaciones seguras

Qué es una instantánea y por qué la necesita Una instantánea (en inglés, snapshot) es una fotografía del estado exacto de una máquina virtual (VM, del inglés Virtual Machine) en un momento dado. Si más adelante algo sale mal, usted puede volver a ese...

Qué es una distribución Linux y por qué usarla en seguridad Linux es, en sentido estricto, un núcleo: la parte del sistema operativo que dialoga con el hardware (procesador, memoria, discos, red). Una distribución Linux es un sistema operativo comple...

Qué es la virtualización y por qué la necesita En la actividad anterior vio por qué un hacker ético se entrena siempre en un laboratorio y nunca sobre un sistema real. La virtualización es la tecnología que hace posible ese laboratorio sin comprar va...

El principio fundamental: nunca un sistema real En las actividades anteriores usted aprendió que lo que separa al hacker ético del atacante es la autorización. También aprendió que esa autorización se concreta en un perímetro escrito y en unas reglas...

Cuatro familias de oficios para un mismo objetivo En las actividades anteriores usted siguió el desarrollo de un incidente de principio a fin: un atacante entra, un defensor detecta, un investigador reconstruye los hechos. También vio que la diferenc...

Por qué el perímetro lo decide todo En las actividades anteriores ha visto que lo que separa a un hacker ético de un atacante es la autorización. Esa autorización tiene siempre un contenido concreto. No dice «puede usted probarlo todo», sino «puede u...

Por qué el derecho es la primera herramienta del hacker ético En la actividad anterior vio que la diferencia entre probar y atacar está en la autorización. Ahora va a ver por qué esa frase no es una regla moral, sino una realidad jurídica. Un escaneo...

Misma técnica, distinto acto En las actividades anteriores ha estudiado quiénes atacan, qué comprometen (confidencialidad, integridad, disponibilidad) y cómo se desarrolla un incidente de principio a fin. Ahora cambia de perspectiva: usted aprenderá ...

Un incidente es una historia con tres puntos de vista Hasta ahora usted ha aprendido las piezas sueltas del vocabulario: amenaza, vulnerabilidad, riesgo, perfiles de atacantes, la tríada confidencialidad, integridad y disponibilidad, y las grandes fa...

Una clasificación para ordenar el caos Ya conoce el vocabulario básico: una amenaza explota una vulnerabilidad y genera un riesgo. También sabe quién ataca y por qué, y qué protege la seguridad: la confidencialidad, la integridad y la disponibilidad....

La tríada CID: el punto de partida de toda la seguridad En las actividades anteriores usted aprendió a distinguir amenaza, vulnerabilidad y riesgo, y a reconocer quién ataca y por qué. Falta una pregunta esencial: ¿qué es exactamente lo que se proteg...

Recordatorio teórico: amenaza, vulnerabilidad y riesgo Los conceptos de amenaza, vulnerabilidad y riesgo son el núcleo del análisis de seguridad. Es fundamental distinguirlos para comunicarse con precisión en el oficio de la ciberseguridad. Una amena...

Del concepto de amenaza al atacante real En la actividad anterior usted distinguió tres palabras clave: amenaza, vulnerabilidad y riesgo. Recuerde que la amenaza es lo que puede causar un daño, la vulnerabilidad es la debilidad que permite ese daño y...

Por qué estas tres palabras importan tanto En la actividad anterior vio para qué sirve la ciberseguridad y qué ordenador necesitará para su laboratorio. Antes de instalar nada, necesita un vocabulario preciso. En ciberseguridad, tres palabras aparece...

Bienvenido al curso Hacker Ético y Ciberdefensa. Este primer capítulo le explica para qué sirve la ciberseguridad, qué hace un hacker ético y qué ordenador necesita para seguir todos los talleres en buenas condiciones. No necesita conocimientos previ...

Este capítulo cierra la sección dedicada a los principios de seguridad de las aplicaciones y al modelado de amenazas. Su objetivo es consolidar, mediante un mapa mental mental, todos los conceptos que has estudiado hasta ahora: los principios fundame...

RECORDATORIO TEÓRICO La puntuación de riesgos consiste en asignar un valor cuantificable a cada amenaza para poder priorizar las correcciones y las pruebas de seguridad. En los capítulos anteriores trabajaste con la metodología de calificación de rie...

En seguridad de aplicaciones, el tiempo y los recursos son siempre limitados. Nunca podrás probar ni corregir todo al mismo tiempo. Por eso necesitas una heurística: un conjunto de reglas prácticas y razonables que te ayuden a decidir qué corregir pr...

RECORDATORIO TEÓRICO La metodología de calificación de riesgos de OWASP (OWASP Risk Rating Methodology) permite transformar amenazas identificadas en una puntuación objetiva y comparable. El principio es simple: Riesgo = Probabilidad × Impacto. La pr...

En los capítulos anteriores aprendiste a identificar amenazas con STRIDE, a mapear la superficie de ataque y a construir una matriz de amenazas para un blog. Ahora surge una pregunta esencial: cuando se han detectado muchas amenazas, ¿por dónde empez...

RECORDATORIO TEÓRICO La superficie de ataque de una aplicación es el conjunto de todos los puntos por los que un atacante podría intentar entrar, extraer datos o alterar el sistema. Se compone de tres dimensiones principales: la superficie de red (pu...

La superficie de ataque de una aplicación representa el conjunto de todos los puntos por los que un atacante podría intentar entrar, extraer datos o alterar el funcionamiento del sistema. Dicho de forma sencilla: cuantos más puntos de entrada tenga u...

RECORDATORIO TEÓRICO La carga de archivos (file upload) es una de las funcionalidades más peligrosas de una aplicación web porque permite al usuario introducir datos arbitrarios en el servidor. Recuerda los pilares que ya has trabajado: la tríada CIA...

Introducción al caso En este capítulo analizamos un incidente de seguridad real (reconstruido con fines pedagógicos) provocado por la ausencia del principio de privilegio mínimo. Este principio establece que cada usuario, servicio, proceso o componen...

RECORDATORIO TEÓRICO El diseño seguro (Secure by Design) consiste en integrar la seguridad desde la concepción de una aplicación, y no como un parche posterior. Se apoya en principios universales que guían las decisiones de arquitectura y desarrollo....