=drð^=al`bkqb= qfqri^`flkbp=ab=j^pqbo=

Transcripción

1 =drð^=al`bkqb= qfqri^`flkbp=ab=j^pqbo= MASTER UNIVERSITARIO EN GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN CURSO 2014/2015 ASIGNATURA: DESARROLLO SEGURO Y AUDITORIAS DE SEGURIDAD Nombre del Módulo al que pertenece la materia DESARROLLO SEGURO Y AUDITORIAS DE SEGURIDAD ECTS Carácter Periodo Calendario Requisitos previos Totales Básica Obligatoria Optativa 1 er C 2ºC Semanas 6 X Idiomas en los que se imparte la asignatura Castellano X Valenciano Inglés Francés Departamento Área de Conocimiento Profesor/es responsable/s de la materia / asignatura Nombre y apellidos Despacho y Facultad dónde se ubica Correo electrónico y página web Horario de atención al alumnado Roberto Soriano Domenech Disponible en la intranet DESARROLLO SEGURO Y AUDITORIAS DE SEGURIDAD 1

2 Objetivos de la materia según Memoria de Grado verificada Competencias que se adquieren a través de la materia / asignatura según la Memoria de Grado verificada Competencias básicas: CB1, CB2, CB3, CB4, CB5 Competencias generales: CG1, CG2,CG3 Competencias específicas:ce5, CE7 Contenidos de la materia / asignatura Contenidos básicos: Protección del software Programación desktop segura Malware OWASP. Seguridad en la web OSSTMM Actividades Formativas de la materia / asignatura DESARROLLO SEGURO Y AUDITORIAS DE SEGURIDAD 2

3 ESTIMACION DEL VOLUMEN DEL TRABAJO DEL ESTUDIANTE NOMBRE DE LA MATERIA Créditos ECTS: Volumen de trabajo del alumno Actividad Formativa CLASES MAGISTRALES Hora presencial (A) Presentación de la asignatura 1 Lección Magistral 11 Debates Comentarios y discusión de trabajos 2 Trabajo personal (B) Otros 60 Resolución de problemas Debates Comentarios y discusión de trabajos Simulaciones Laboratorio Prácticas en aula de informática Salidas Exposiciones de trabajos Otros SEMINARIOS CLASES PRÁCTICAS Resolución de Problemas 1 20 Debates Comentarios y discusión de trabajos 3 30 TALLERES Comentarios y discusión de trabajos Exposiciones orales TRABAJO DE SÍNTESIS Tiempo de realización del trabajo EVALUACIÓN Preparación de exámenes 20 Realización de exámenes 2 Otros. Volumen de trabajo (C) C = A + B TOTAL RELACION HORAS DE TRABAJO / ECTS (el resultado de la relación horas de trabajo / ECTS deberá ser igual a 25 horas. 25 DESARROLLO SEGURO Y AUDITORIAS DE SEGURIDAD 3

4 Sistemas y criterios de evaluación Exámenes teórico-prácticos parciales y finales (50%) Realización de trabajos.(40%) Participación activa en foros y en clases amgistrales.(10%) En los exámenes se evalúan las competencias teóricas y prácticas adquiridas, ya que todos los exámenes llevan incluidos una solución de un caso práctico (valor del 35% del total). La evaluación de las competencias prácticas además se evalúan tras la solución, realización y presentación de trabajos individuales prácticos, que suponen un esfuerzo del alumno de un crédito ECTS. En las diferentes materias existen trabajos establecidos sobre diferentes ámbitos tratados. CONVOCATORIA ORDINARIA. EVALUACIÓN CONTINUA: Los objetivos de conocimiento de cada materia, se valorarán mediante trabajos obligatorios, que deben ser enviados a los tutores o profesores asociados por correo electrónico; además de un examen escrito, compuesto por cuestiones tipo test, preguntas de desarrollo razonado y un problema de aplicación o caso práctico. Examen y Trabajos: El alumno podrá presentarse, en una de las cuatro fechas indicadas, a un único examen parcial de cada materia, es decir, el alumno no podrá repetir el examen de una misma materia dentro de las convocatorias parciales. En caso de suspender dicho parcial, obligatoriamente deberá presentarse al examen ordinario en la fecha correspondiente al mismo. Es necesario obtener una nota mínima de 4,0 en el examen para tener la posibilidad de compensar la nota por media ponderada con la obtenida en los trabajos enviados, y así, aprobar la materia en evaluación continua. De no entregarse previamente los trabajos preceptivos, la calificación del examen no tendrá validez y se considerará como NO PRESENTADO en la calificación final de la convocatoria ordinaria. La calificación final ordinaria se calculará por media ponderada asignando un 50% a la nota obtenida en el examen y un 40% a la nota obtenida en los trabajos y un 10% de la participación activa en clases magistrales, foros, etc. La valoración promediada de examen y trabajos debe ser igual o mayor de 5 para considerar la materia superada. CONVOCATORIA EXTRAORDINARIA: El alumno que no supere una materia en la convocatoria ordinaria, deberá presentarse al examen final en la convocatoria extraordinaria, que abarcará todo el contenido de dicha materia. El examen extraordinario podrá incluir preguntas relativas a los trabajos que se han realizado durante el curso. DESARROLLO SEGURO Y AUDITORIAS DE SEGURIDAD 4

5 Programa / temario TEMA I. PROTECCIÓN DEL SOFTWARE TEMA II. PROGRAMACIÓN DESKTOP SEGURA TEMA III. MALWARE TEMA IV. OWASP. SEGURIDAD EN LA WEB TEMA V. OSSTMM Contenido detallado de la asignatura y cronograma de impartición TEMA 1. Protección del software II. FUNDAMENTOS III. TIPOS DE PROTECCIONES Y DEBILIDADES 3.1. Protección mediante cifrado IV. PROTECCIÓN HARDWARE 4.1. Método pregunta-respuesta 4.2. Ejecución de componentes en el hardware 4.3. Rockey6 Smart de Feitian TEMA 2. Programación desktop segura II. DESBORDAMIENTOS DE BUFFER 2.1. La estructura del código en memoria 2.2. La pila en los procesadores i Desbordamiento de pila 2.4. Desbordamiento de Heap y BSS 2.5. Creación de shellcodes 2.6. Consejos para evitar los desbordamientos de memoria 2.7. Herramientas 2.8. Otras tecnologías de protección 2.9. EMET Analizadores de código III. CONDICIONES DE CARRERA 3.1. Introducción 3.2. Condiciones en secuencias o no atómicas 3.3. Bloqueo de ficheros IV. CADENAS DE FORMATO 4.1. Lenguajes afectados 4.2. C/C Cómo detectarla 4.4. Métodos de prevención TEMA 3. Malware I. HISTORIA DE LOS VIRUS Los precursores Los virus de macro DESARROLLO SEGURO Y AUDITORIAS DE SEGURIDAD 5

6 Contenido detallado de la asignatura y cronograma de impartición 1.6. El boom de los virus por Internet 1.7. El gran cambio II. ANATOMIA DE UN VIRUS 2.1. Virus de boot 2.2. Virus de ficheros III. INFECCIÓN DE BINARIOS 3.1. Supervivencia IV. MALWARE HOY 4.1. Protección 4.2. Coste del malware V.TIPOS DE MALWARE 5.1. Bomba lógica 5.2. Caballo de Troya 5.3. Puerta trasera 5.4. Virus 5.5. Gusano 5.6. Rabbit 5.7. Spyware 5.8. Keyloggers 5.9. Adware Híbridos: downloaders y droppers Zombies Ransomware Rogueware Botnet, red zombie Spyware. Anatomía y principios VI. TROYANOS Y PUERTAS TRASERAS 6.1. Objetivos de un troyano 6.2. Anatomía de un troyano 6.3. Troyanos bancarios 6.4. Troyanos web 6.5. Virus en la telefonía VII. PROTECCIÓN CONTRA EL MALWARE TEMA 4. OWASP. Seguridad en la web II. EL TOP 10 DE LOS ERRORES 2.1. Inyección 2.2. XSS 2.3. Errores en autenticación y sesión 2.4. Referencias inseguras a objetos 2.5. CSRF (Cross Site Request Forgery) 2.6. Configuración insegura 2.7. Almacenamiento inseguro 2.8. Errores del control de acceso 2.9. Protección en la capa de transporte Redirecciones y envíos no validados III. OTROS PROBLEMAS DE SEGURIDAD 3.1. Entradas no validadas 3.2. Desbordamientos de buffer 3.3. Manejo incorrecto de errores 3.4. Denegación de servicios 3.5. Por dónde empezar a aplicar seguridad? IV. PERFILADO DE LA APLICACIÓN WEB DESARROLLO SEGURO Y AUDITORIAS DE SEGURIDAD 6

7 Contenido detallado de la asignatura y cronograma de impartición 4.1. Metodología de ataque V. INYECCIÓN SQL 5.1. Definición 5.2. Alcance de un posible ataque 5.3. Anatomía de un ataque de inyección SQL 5.4. Cómo prevenir el ataque de inyección SQL? 5.5. Tipos de inyección SQL TEMA 5. OSSTMM 1.1. Mapa de seguridad 1.2. Seguridad 1.3. Controles 1.4. Limitaciones II. TEST III. APLICACIÓN DE OSSTMM 3.1. Fórmulas de cálculo IV. OTROS CONCEPTOS CLAVE 4.1. Reglas de compromiso 4.2. El pensamiento crítico de seguridad 4.3. Análisis de la confianza 4.4. Defensa en amplitud Bibliografía Básica Bibliografía complementaria Recomendaciones a los estudiantes para cursar la materia Seguir el calendario programado de actividades, lecturas obligatorias y complementarias, realización del trabajo/s correspondientes y completar las autoevaluaciones. Repercusión líneas de investigación Asignatura Básica Repercusión actividad profesional Asignatura Básica DESARROLLO SEGURO Y AUDITORIAS DE SEGURIDAD 7