Brainscape's Knowledge GenomeTM

Browse over 1 million classes created by top students, professors, publishers, and experts.


See full index

UNIR - Ingeniería y Desarrollo en la Web > Tema 5 > Flashcards

Tema 5 Flashcards

1
Q

¿Qué es una metodología de desarrollo?

A

Conjunto de filosofías, fases, procedimientos, reglas, técnicas, herramientas, documentación y aspectos de formación para los desarrolladores de SI (Maddison,1983)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
2
Q

¿Cuál es el objetivo de desarrollar software de manera sistemática?

A
  • Mejores aplicaciones. Un mejor proceso de desarrollo que identifique salidas (o productos intermedios) de cada fase de forma que se pueda planificar y controlar un proyecto.
  • Un proceso estándar en la organización.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
3
Q

Las metodologías de desarrollo de software seguro más extendidas hoy día:

A

► Microsoft
• Iniciativa Trustworthy Computing
► OSSTMM (Open Source Security Testing Methodology Manual )
► OWASP (Open Web Application Security Project)
► OASIS Web Application Security (WAS) project

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
4
Q

¿Qué conceptos abarca la Metodología Microsoft?

A

• Confianza
• Estabilidad
• Seguridad en la plataforma, que se sustenta sobre 5 pilares básicos:
– Aislamiento y flexibilidad
– Calidad
– Autenticación
– Autorización y control de accesos – Orientación y formación

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
5
Q

¿Cuáles son los cuatro principios de la Metodología Microsoft?

A

La aplicaciones deben ser:

  • Seguras
  • Privadas
  • Fiables
  • Deben garantizar la integridad de negocio
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
6
Q

La seguridad debe abarcar todas las fases. Por tanto, el software debe
ser:

A

► Seguro por diseño
• Ninguna parte de la aplicación queda fuera del control de seguridad
► Seguro por defecto
• La aplicación recién instalada tiene un comportamiento suficientemente seguro
• Un ejemplo es el gestor de áreas de exposición de SQL Server
► Seguro en la distribución
• Informar al usuario sobre la seguridad de la aplicación
• Mecanismos de modificación de las características de seguridad
• Crear parches de seguridad tan pronto como se detecte una nueva vulnerabilidad.
► Seguro en las comunicaciones

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
7
Q

¿Qué frase comprende Modelo de Amenazas (Threat Model)?

A

– Identificar activos de la aplicación
– Crear información general sobre la arquitectura
– Descomponer la aplicación
– Identificar, documentar y clasificar las amenazas
– Identificar las vulnerabilidades

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
8
Q

¿Qué comprende el modelo Modelo STRIDE?

A

– Spoofing (suplantación)
– Tampering (manipulación)
– Repudiation (no repudio)
– Information disclosure (divulgación de información) – Denial of service (denegación de servicio)
– Elevation of privileges (elevación de privilegios)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
9
Q

¿Qué comprende la Directiva dread?

A

– Damage - Daño potencial
– Reproducibility - Facilidad de reproducción
– Exploitability - Capacidad de explotación
– Affected users - Usuarios afectados
– Discoverability - Dificultad para su descubrimiento

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
10
Q

¿Cómo se calcula el riesgo DREAD?

A

Riesgo dread = (D + R + E + A + D) / 5

Cada riesgo se calcula como un promedio de los cinco parámetros
anteriores, valorados de 0 a 10

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
11
Q

Recomendaciones para la defensa con Microsoft:

A

– Adoptar el principio mínimo privilegio
– Usar las defensas en profundidad
– No confiar en los datos introducidos por el usuario
– Utilizar opciones predeterminadas seguras
– No depender de la seguridad por medio de ocultación
– Validar todo acceso al sistema
– Asumir que los sistemas externos no son seguros
– Reducir el área de exposición
– Cometer errores de forma segura
– No olvidar que el alcance de la seguridad lo define su punto más débil – Si no se utiliza, hay deshabilitarlo

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
12
Q

¿Qué significa OSSTMM?

A

Open Source Security Testing Methodology Manual (Manual de Metodología de Pruebas de Seguridad de Código Abierto)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
13
Q

¿Qué es OSSTMM?

A

El Manual de la Metodología Abierta de Comprobación de la Seguridad es uno de los estándares de factor más utilizado en Auditorías de Seguridad para revisar la Seguridad de los Sistemas desde Internet.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
14
Q

¿Qué fases comprende OSSTMM?

A
  • Seguridad de la información
  • Seguridad de los procesos
  • Seguridad en las tecnologías de Internet
  • Seguridad en las comunicaciones
  • Seguridad inalámbrica
  • Seguridad física
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
15
Q

¿Qué significa OWASP?

A

Open Web Application Security Project

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
16
Q

¿Qué objetivo tiene OWASP?

A
  • De libre acceso y utilización
  • Que pueda ser utilizada como material de referencia por parte de los arquitectos de, software desarrolladores, fabricantes y profesionales de la seguridad
  • Todos ellos involucrados en el diseño, desarrollo, despliegue y verificación de la seguridad de las aplicaciones y servicios web
17
Q

OWASP pretende que se desarrolle mejor software mediante:

A
  • El desarrollo de herramientas útiles para identificar los fallos y corregirlos
  • La educación de los grupos involucrados, para evitar que se produzcan fallos
  • El fomento de la discusión de problemas a través de una comunidad abierta
  • La definición de estándares
18
Q

¿Cuáles son los patrocinadores principales de OWASP?

A

Foundstone, Deloitter, Visa, Unisys

19
Q

¿Cuáles son los proyectos más destacados de OWASP?

A

• OWASP Top Ten Project: Representa un consenso a nivel global sobre las 10 vulnerabilidades web
más importantes
• WebGoat: Herramienta destinada a la educación y que permite practicar y explotar las vulnerabilidades más frecuentes de un sitio Web
• WebScarab: Es un framework para el análisis de aplicaciones que utilizan como base los protocolos HTTP y HTTPS

20
Q

Las guías más relevantes de OWASP:

A

• Development Guide
– Guía para la construcción de aplicaciones web seguras
• Code Review Guide
– Guía para la revisión de código para la garantía de software seguro
• Testing Guide
– Guía y herramientas para pruebas de intrusiones y garantía de software seguro

21
Q

OWASP: Principios básicos de la seguridad de cualquier aplicación o servicio
web

A
  • Validación de la entrada y salida de información
  • Diseños simples
  • Utilización y reutilización de componentes de confianza
  • Defensa en profundidad
  • Verificación de privilegios
  • Ofrecer la mínima información
22
Q

¿Qué directivas se deben seguir si se guardan datos de tarjeta de crédito?

A

Debe seguir las directivas de PCI al pie de la letra. Se recomienda encarecidamente que no almacene datos de tarjetas de crédito.

23
Q

¿Qué es phishing?

A

El phishing es una tergiversación donde el criminal utiliza ingeniería social para aparecer como una identidad legitima. Hasta un 5% de los usuarios parecen ser atraídos en este tipo de ataques.

24
Q

OWASP está dividida conceptualmente en dos grandes partes:

A
  • Marco de trabajo de pruebas en el Ciclo de Vida del Desarrollo del Software (SDLC Testing Framework)
  • Vulnerabilidades más comunes en Aplicaciones Web es una guía y no un documento formal que seguir al «pie de la letra»
25
Q

El framework de pruebas de OWASP está estructurado de la siguiente forma:

A 
Fase 1: Antes de empezar el desarrollo
Fase 2: Durante el diseño y definición
Fase 3: Durante el desarrollo
Fase 4: Durante la implementación
Fase 5: Mantenimiento y operación
26
Q

La Guía de Pruebas de OWASP contempla y analiza en detalle las pruebas que hay que realizar para los siguientes grupos de vulnerabilidades:

A
  • Recolección de información
  • Pruebas de gestión de configuración
  • Pruebas de autenticación
  • Pruebas de gestión de sesiones
  • Pruebas de autorización
  • Pruebas de validación de datos
  • Pruebas de denegación de servicio
  • Pruebas de servicios web
  • Pruebas de AJAX
27
Q

Se estima que hoy en día la mayor parte de ataques contra aplicaciones web se aprovechan de vulnerabilidades presentes en:

A

La aplicación web.

28
Q

¿Cuál es un peligro comúnmente asociado al uso de sesiones?

A

Reutilización, falsificación o intercepción de sesión.

29
Q

Los datos sobre autorización y roles del cliente una vez este ha sido identificado deben ser almacenados en:

A

Sesiones

UNIR - Ingeniería y Desarrollo en la Web (7 decks)

Brainscape helps you reach your goals faster, through stronger study habits.
© 2024 Bold Learning Solutions. Terms and Conditions