GENEXUS & OWASP TOP 10

Transcripción

1 GENEXUS & OWASP TOP 10 Curso de Seguridad en Aplicaciones desarrolladas con GeneXus Abril de 2016 GeneXus Consulting

2 C U R S O D E S E G U R I D A D E N A P L I C A C I O N E S G E N E X U S OBJETIVO El objetivo del curso es concientizar y capacitar a los involucrados en el desarrollo de soluciones con GeneXus sobre la importancia de la seguridad y técnicas de detección, validación y mitigación de los riesgos potenciales existentes en las aplicaciones. El presente curso se encuentra enfocado principalmente a las personas que trabajan con GeneXus, desde analista, desarrolladores y testers, hasta gerentes de proyecto que deseen interiorizarse en los principales riesgos de seguridad que existen hoy en día. Como referencia y guía del curso se utiliza la última publicación del ranking OWASP Top 10, donde se presentan los riesgos más comunes de las aplicaciones hoy en día. INFORMACIÓN GENERAL Fechas: Lugar: Costo por participante: 4, 6, 8, 11, 13, 15 de Abril de 14 a 18hs. Centro de Desarrollo del Conocimiento (CDC) del LATU, Sala 1. Av. Italia Montevideo, Uruguay. - US$ IVA (22%) - US$ IVA (22%) para integrantes de GX Alliance, usuarios de K2B Tools o grupos de 2 o más personas. - US$ IVA (22%) precio especial para inscripciones antes del 15 de Marzo. Inversiones en capacitación: En la liquidación del IRAE: Son deducibles en un 150% de su valor real según el titulo 4 del Texto Ordenado de Ley actualizada al 31/12/2008, Art. 23 Literal A y el Decreto Art. 43 a 45. Inscripciones: training@genexusconsulting.com Teléfono: int 425. GeneXus Consulting S.A. - Página 1

3 Instructor: Ing. Gerardo Canedo, postgraduado en Seguridad Informática: Gerente de Servicios de Seguridad en GeneXus Consulting. Ing. Pablo Alzuri, postgraduado en Seguridad Informática: Experto en Seguridad de Aplicaciones y Consultor de Arquitectura de Software con GeneXus. Requisitos: Los asistentede deberán llevar su propio notebook, con capacidad para conectarse de forma inalambrica o a través de un cable de red al ambiente de pruebas a través de escritorio remoto. Al finalizar el curso se entrega un certificado de asistencia emitido por GeneXus Consulting a todas las personas que participaron de la totalidad del curso. METODOLOGÍA El curso tiene un enfoque teórico donde se detallan los conceptos básicos que se deben conocer para abordar los temas de seguridad y una componente práctica que comprende la mayor parte del tiempo. Para cada uno de los puntos del OWASP Top 10 se abordan los siguientes temas: Demo sobre una aplicación de ejemplo que permite comprender la vulnerabilidad. Explicación teórica del riesgo que representa. Que hace GeneXus automáticamente para evitarlo o mitigarlo. Qué debe hacer el desarrollador para evitarlo y que soluciones existen. Forma de detectar en el caso que se deba realizar alguna acción. Ejercicio práctico en GeneXus detectando el problema, explotándolo, solucionándolo y verificándolo. GeneXus Consulting S.A. - Página 2

4 TEMARIO Introducción Presentación del instructor, los temas a abordar en el curso y la metodología de trabajo. GeneXus & OWASP Top 10 Los puntos a abordar del OWASP Top 10 son los siguientes: 1. A1-Injection a. SQL b. XML c. OS d. Código fuente 2. A2-Broken Authentication and Session Management a. Autenticación b. Gestión de sesiones c. Transmisión 3. A3-Cross-Site Scripting (XSS) a. Validación de formato en textos enriquecidos b. Codificación de código escrito por el desarrollador 4. A4-Insecure Direct Object References a. Llamadas directas a objetos b. Generación insegura de archivos temporales 5. A5-Security Misconfiguration a. Cambio de clave de cifrado 6. A6-Sensitive Data Exposure 7. A7- Missing Function Level Access Control a. Seguridad en los eventos b. Modos en las TRNS 8. A8-Cross-Site Request Forgery (CSRF) 9. A9-Using Components with Known Vulnerabilities 10. A10-Unvalidated Redirects and Forwards MATERIAL El material del curso será entregado en formato digital a todos los asistentes por correo electrónico. El entorno de trabajo que se utilizara en el práctico se encuentra montado en una máquina virtual que se accede a través de escritorio remoto y contiene los siguientes elementos: Ejemplos de vulnerabilidades en aplicaciones (WebGoat) GeneXus y una KB de trabajo Aplicación generada a partir de la KB Herramientas de apoyo (ZAP, Firebug, entre otras) El entorno de pruebas no se entrega a los participantes, es de uso exclusivo para brindar el curso. GeneXus Consulting S.A. - Página 3

5 ACERCA DE GENEXUS CONSULTING: GeneXus Consulting es una empresa de consultoría con más de 20 años de trayectoria, desde su conocimiento de negocios genera soluciones con tecnología GeneXus para organizaciones de todo el mundo. Forma parte de la empresa de servicios de profesionales de Artech, compañía que desarrolla GeneXus, y tiene sus oficinas principales en Montevideo, Uruguay. Cuenta con un equipo de más de 120 profesionales, entre consultores de negocio, arquitectos, diseñadores, desarrolladores, testers y técnicos especializados en tecnologías GeneXus y en diversas tecnologías de la información asegurando la calidad de todos sus proyectos. Desde 1989, el objetivo de GeneXus Consulting es lograr la más alta satisfacción de los clientes tanto en Consultoría como grandes proyectos. La compañía ha cultivado una metodología propia de trabajo, enfocada en lograr soluciones innovadoras y resultados altamente productivos de la mano de sus clientes. Ofrece numerosos servicios que buscan ser la fuerza complementaria para que las organizaciones alcancen sus objetivos de negocio, incorporando las últimas novedades tecnológicas. Consultoría Asesoramiento en GeneXus Testing de Software Software Factory Desarrollo de aplicaciones Mobile Seguridad en el ciclo de desarrollo GeneXus Consulting S.A. - Página 4