ANX-PR/CL/ GUÍA DE APRENDIZAJE

Transcripción

1 PROCESO DE COORDINACIÓN DE LAS ENSEÑANZAS PR/CL/001 ASIGNATURA PLAN DE ESTUDIOS 61AF - CURSO ACADÉMICO Y SEMESTRE Primer semestre

2 11\ 1 i#e)liii@i@;l CAMPUS DE EXCELENCIA INTERNACIONAL PR/CL/ E.T.S. de lngenieria de ;:::,: I,OFI ATICO$ Sistemas lnformaticos Índice Guía de Aprendizaje 1. Datos descriptivos Profesorado Conocimientos previos recomendados Competencias y resultados de aprendizaje Descripción de la asignatura y temario Cronograma Actividades y criterios de evaluación Recursos didácticos Otra información...11

3 1. Datos descriptivos 1.1 Datos de la asignatura Nombre de la Asignatura Nº de Créditos 4 ECTS Carácter Curso Semestre Período de impartición Idioma de impartición Titulación Centro en el que se imparte Primer curso Primer semestre Septiembre-Enero Castellano 61AF - Escuela Tecnica Superior de Ingenieria de Curso Académico Profesorado 2.1 Profesorado implicado en la docencia Nombre Despacho Correo electrónico Horario de tutorías* M - 11:00-14:00 J - 11:00-14:00 Juan Alberto De Frutos Velasco (Coordinador/a) 1223 juanalberto.defrutos@upm.e s Durante las semanas de impartición de clases las tutorías serán Martes y Jueves de 15:00 a 18:00 * Las horas de tutoría son orientativas y pueden sufrir modificaciones. Se deberá confirmar los horarios de tutorías con el profesorado. Página 1 de 13

4 3. Conocimientos previos recomendados 3.1 Asignaturas previas que se recomienda haber cursado - Back-end con tecnologías de libre distribución 3.2 Otros conocimientos previos recomendados para cursar la asignatura El plan de estudios no tiene definidaos otros conocimientos previos para esta asignatura. 4. Competencias y resultados de aprendizaje 4.1 Competencias que adquiere el estudiante al cursar la asignatura - Requisitar, analizar y diseñar en un desarrollo Web bajo las metodologías vigentes en el entorno profesional. - Programar y probar en un desarrollo Web con los lenguajes y técnicas vigentes en el entorno profesional. - Incorporar seguridad, calidad, usabilidad y persistencia al desarrollo Web vigentes en el entorno profesional. - Respetar los marcos legal, social y económico de los desarrollos vigentes en el entorno profesional. Página 2 de 13

5 4.2 Resultados del aprendizaje al cursar la asignatura RA38 - Utilizar soluciones criptográficas adecuadas para una aplicación web. RA41 - Utilizar herramientas que realicen análisis de vulnerabilidades en las aplicaciones web. RA36 - Conocer los riesgos de seguridad asociados a las aplicaciones web. RA40 - Saber desarrollar software seguro para aplicaciones web usando cualquier plataforma RA39 - Saber identificar vulnerabilidades en las aplicaciones web RA37 - Configurar un sitio web de forma segura. 5. Descripción de la asignatura y temario 5.1 Descripción de la asignatura En esta asignatura se aborda el problema de la seguridad desde el punto de vista de la aplicación web y el servidor web que la soporta. La parte más significativa de la asignatura se refiere a la seguridad de la programación web, con objeto de evitar vulnerabilidades en la programación que pudieran ser explotadas por un atacante. Esta parte se complementa con otros contenidos relacionados con la seguridad web que se encuentran detallados en el temario que aparece a continuación. 5.2 Temario de la asignatura 1. Introducción 2. Conceptos previos: HTTP y Apache El protocolo HTTP 2.2. Configuración de Apache 3. Autenticación y autorización 3.1. Autenticación y autorización HTTP 3.2. Autenticación y autorización Web 3.3. Autenticación y autorización con certificados digitales 4. El protocolo TLS/SSL Página 3 de 13

6 4.1. Comunicación segura entre cliente y servidor con TLS/SSL 4.2. Autenticación del servidor web con certificado 4.3. Configuración TLS/SSL del servidor web 4.4. Obtener e instalar un certificado de servidor web 4.5. Ejemplos de ataques a TLS/SSL 4.6. Autenticación de un cliente con certificado 4.7. Obtener e instalar un certificado de cliente 4.8. Firma digital de formularios web 5. Cross Site Scripting (XSS) 5.1. XSS Reflejado 5.2. XSS permanente 5.3. CSRF (Cross Site Request Forgery) 6. Robo de Sesiones 6.1. Robo del identificador de sesión 6.2. Fijación de sesión (Session Fixation) 7. SQL Injection 7.1. Concepto de SQL injection 7.2. Medidas para mitigar SQL injection 7.3. SQL injection a través de metadatos del SGDB 7.4. Blind SQL injection 8. Otros temas de seguridad en las aplicaciones web 8.1. Parameter Tampering 8.2. Información sensible 8.3. Ataques de Path Traversal 8.4. Ataques de File Inclusion 8.5. Carga de ficheros en el servidor (Upload) 8.6. Referencias directas inseguras a objetos 8.7. Inyecciones de código 9. Análisis de vulnerabilidades en aplicaciones web Página 4 de 13

7 9.1. Analizadores estáticos de código 9.2. Analizadores dinámicos de código Escaneo pasivo Escaneo activo Página 5 de 13

8 6. Cronograma 6.1 Cronograma de la asignatura* Semana Actividad Presencial en Aula Actividad Presencial en Laboratorio Otra Actividad Presencial Actividades de Evaluación 1 2 Temas 1, 2, 3 y 4: Introducción, Conceptos Previos, autenticaión y autorización, y el protocolo TLS/SSL Duración: 20:00 PL: Actividad Prácticas de Laboratorio Temas 5,6,7,8 y 9: XSS, Robo de sesiones, SQL injection, otros temas de seguridad, y análisis de vulnerabilidades Duración: 20:00 PL: Actividad Prácticas de Laboratorio Asistencia y participación en el aula (RA36, RA37, RA38, RA39, RA40, RA41) OT: Otras técnicas evaluativasevaluación continua Duración: 00:00 Asistencia y participación en el aula (RA36, RA37, RA38, RA39, RA40, RA41) OT: Otras técnicas evaluativasevaluación continua Duración: 00:00 Práctica 1: Autenticación y TLS (RA36, RA37, RA38, RA40) TI: Técnica Trabajo IndividualEvaluación continua Duración: 21:00 Práctica 2: XSS y Robo de sesiones (RA36, RA39, RA40) TI: Técnica Trabajo IndividualEvaluación continua Duración: 21:00 3 Práctica 3: SQL injection, path traversal y análisis de vulnerabilidades (RA36, RA39, RA40, RA41) TI: Técnica Trabajo IndividualEvaluación continua Duración: 22: Evaluación de Test (RA36, RA37, RA38, RA39, RA40, RA41) EX: Técnica Examen EscritoEvaluación continua Duración: 00:20 Página 6 de 13

9 Práctica Final (RA36, RA37, RA38, RA39, RA40) TI: Técnica Trabajo IndividualEvaluación sólo prueba final Duración: 64:00 17 Evaluación de Test (RA36, RA37, RA38, RA39, RA40, RA41) EX: Técnica Examen EscritoEvaluación sólo prueba final Duración: 00:20 Exámen final escrito (RA36, RA37, RA38, RA39, RA40, RA41) EX: Técnica Examen EscritoEvaluación sólo prueba final Duración: 02:00 * El cronograma sigue una planificación teórica de la asignatura y puede sufrir modificaciones durante el curso. Página 7 de 13

10 7. Actividades y criterios de evaluación 7.1 Actividades de evaluación de la asignatura Evaluación continua Sem. Descripción Modalidad Tipo Duración Peso en la nota Nota mínima Competencias evaluadas 1 Asistencia y participación en el aula (RA36, RA37, RA38, RA39, RA40, RA41) OT: Otras técnicas evaluativas Presencial 00:00 5% 5 / 10 2 Asistencia y participación en el aula (RA36, RA37, RA38, RA39, RA40, RA41) OT: Otras técnicas evaluativas Presencial 00:00 5% 5 / 10 TI: Técnica 3 Práctica 1: Autenticación y TLS (RA36, RA37, RA38, RA40) Trabajo No Presencial 21:00 25% 3 / 10 Individual TI: Técnica 3 Práctica 2: XSS y Robo de sesiones (RA36, RA39, RA40) Trabajo Individual No Presencial 21:00 25% 3 / 10 Práctica 3: SQL injection, path TI: Técnica 3 traversal y análisis de vulnerabilidades (RA36, RA39, Trabajo No Presencial 22:00 25% 3 / 10 RA40, RA41) Individual EX: Técnica 3 Evaluación de Test (RA36, RA37, RA38, RA39, RA40, RA41) Examen Presencial 00:20 15% 3 / 10 Escrito Evaluación sólo prueba final Sem. Descripción Modalidad Tipo Duración Peso en la nota Nota mínima Competencias evaluadas TI: Técnica 17 Práctica Final (RA36, RA37, RA38, RA39, RA40) Trabajo Individual No Presencial 64:00 50% 3 / 10 Página 8 de 13

11 EX: Técnica 17 Evaluación de Test (RA36, RA37, RA38, RA39, RA40, RA41) Examen Escrito Presencial 00:20 15% 3 / 10 EX: Técnica 17 Exámen final escrito (RA36, RA37, RA38, RA39, RA40, RA41) Examen Presencial 02:00 35% 3 / 10 Escrito Evaluación convocatoria extraordinaria Sem. Descripción Modalidad Tipo Duración Peso en la nota Nota mínima Competencias evaluadas TI: Técnica 17 Práctica Final (RA36, RA37, RA38, RA39, RA40) Trabajo No Presencial 64:00 50% 3 / 10 Individual Página 9 de 13

12 EX: Técnica 17 Evaluación de Test (RA36, RA37, RA38, RA39, RA40, RA41) Examen Escrito Presencial 00:20 15% 3 / 10 EX: Técnica 17 Exámen final escrito (RA36, RA37, RA38, RA39, RA40, RA41) Examen Presencial 02:00 35% 3 / 10 Escrito 7.2 Criterios de Evaluación En la convocatoria ordinaria se contemplan dos mecanismos de evaluación diferenciados y excluyentes: - Evaluación continua. La calificación de la asignatura se obtendrá tomando en consideración los pesos de las diferentes actividades de evaluación expuestos en el apartado anterior, teniendo en cuenta que el alumno debe obtener al menos un 30% de la nota en cada una de las tres prácticas. Se tendrá en cuenta, además, la asistencia controlada a las clases y su participación en las actividades que tienen lugar durante las mismas (10%). Por último realizará también un test presencial de conocimientos generales de la misma (15%). - Mecanismo de Evaluación solo mediante prueba final (para aquellos alumnos que opten a ella): La calificación final de la asignatura tendrá en cuenta: la entrega de una práctica que integra los contenidos de las tres prácticas que se han presentado durante el curso y cuyo peso será el 50% de la nota final. Por otra parte, y de manera presencial, en la fecha fijada de manera oficial para el examen, el alumno deberá realizar una prueba escrita de tipo práctico, consistente en detectar y mitigar vulnerabilidades en una aplicación web (35%). Por último realizará también un test presencial de conocimientos generales de la misma (15%). La nota mínima a alcanzar en cada parte es de un 30% sobre el total y se ponderarán según su peso una vez rebasada dicha nota mínima. Página 10 de 13

13 Convocatoria extraordinaria: Los criterios de evaluación para la convocatoria extraordinaria serán los mismos que los que se presentan para la evaluación solo mediante prueba final. 8. Recursos didácticos 8.1 Recursos didácticos de la asignatura Nombre Tipo Observaciones Web Application Security, Bryan Sullivan, Vincent Luiw, Mc Graw Hill, 2012 Pro PHP Security, 2nd Edition, Chris Snider, Thomas Myer, Michale Southwell, Apress, 2010 Essential PHP Security, Chris Shiflett, O'Really, 2005 Bulletproof SSL and TLS, Ivan Ristic, Feisty Duck, 2014 Recursos web Recursos web Bibliografía Bibliografía Bibliografía Bibliografía Plataforma Moodle de la UPM en donde se dispone de todos los recursos utilizados en clase. Comunidad abierta y libre, enfocada a facilitar a las organizaciones a desarrollar, adquirir y mantener aplicaciones más seguras. Fundamentos sobre la programación web segura Programación web segura con PHP Programación web segura con PHP Protocolo TLS/SSL Página 11 de 13

14 Iron-Clad Java: Bulding Secure Web Applications Bibliografía Programación web segura con Java 9. Otra información 9.1 Otra información sobre la asignatura Las competencias generales se pueden obtener a partir del cuadro adjunto que figura en la memoria de la titulación: Competencias específicas CE1 CE2 CE3 CE4 CE5 CE6 CE7 CE8 CE9 Comp Poseer y comprender conocimientoscg0 X X X X X X X X X etenci que aporten una base u oportunidad de as ser originales en el desarrollo y/o Real aplicación de ideas, a menudo en un Decre contexto de investigación to Que los estudiantes sepan aplicar los conocimientos adquiridos y su capacidad de resolución de problemas CG1 X X X X X X X X X Página 12 de 13

15 en entornos nuevos o poco conocidos dentro de contextos más amplios (o multidisciplinares) relacionados con su área de estudio Que los estudiantes sean capaces de integrar conocimientos y enfrentarse a la complejidad de formular juicios a partir de una información que, siendo incompleta o limitada, incluya reflexiones sobre las responsabilidades sociales y éticas vinculadas a la aplicación de sus conocimientos y juicios CG2 X X X X X X X X X Que los estudiantes sepan comunicarcg3 sus conclusiones y los conocimientos y razones últimas que las sustentan a públicos especializados y no especializados de un modo claro y sin ambigüedades Que los estudiantes posean lascg4 X X habilidades de aprendizaje que les permitan continuar estudiando de un modo que habrá de ser en gran medida autodirigido o autónomo Comp etenci as de la Uso de la lengua inglesa CG5 X X X X Página 13 de 13

16 U.P.M. Liderazgo de equipos CG6 X X X Creatividad CG7 X X X X X X X X X Organización y plantificación CG8 X X X Gestión de la información CG9 X X X X X X X X X Gestión económica y administrativa CG10 X X X Trabajo en contextos internacionales CG11 Página 14 de 13