Seguridad de aplicaciones (App Sec) — Conceptos básicos — Parte 1

Mar 06 2023

Hola, gracias por tomarse el tiempo de leer el escrito, ¡lo aprecio! Después de mucha consideración, decidí comenzar a escribir sobre seguridad de aplicaciones, un servicio de ciberseguridad que es importante para mí. El contenido se basará en mis experiencias personales, conocimientos, interacciones con personas increíbles en el espacio App Sec y mucha lectura.

Hola,

Gracias por tomarse el tiempo de leer el escrito, ¡lo aprecio! Después de mucha consideración, decidí comenzar a escribir sobre seguridad de aplicaciones, un servicio de ciberseguridad que es importante para mí. El contenido se basará en mis experiencias personales, conocimientos, interacciones con personas increíbles en el espacio App Sec y mucha lectura.

En este artículo, discutiré los fundamentos de la seguridad de las aplicaciones. Estoy seguro de que los lectores tendrán sus propios pensamientos y comentarios, y agradezco cualquier comentario y discusión. ¡Aprendamos juntos!

Vistas/Comentarios/Opiniones son mías y no de mi empleador anterior/actual.

¿Qué es la seguridad de las aplicaciones?

Seguridad de aplicaciones ( App Sec ) se refiere al proceso de proteger las aplicaciones de software de posibles amenazas, vulnerabilidades y ataques. Implica prevenir, localizar y corregir las debilidades de seguridad en las aplicaciones de software a lo largo del ciclo de vida del desarrollo y desplegar diversas medidas de seguridad para protegerlas contra ataques maliciosos. App Sec incluye técnicas (entre otras) como seguridad estática, seguridad dinámica, análisis de composición de software, diseño seguro y mucho más. App Sec tiene como objetivo garantizar la confidencialidad, integridad y disponibilidad de las aplicaciones de software, así como protegerlas de posibles fallas de seguridad.

No entraré en detalles de varios servicios en el espacio de App Sec, en este artículo, mencionaré algunos de los elementos básicos y esenciales dentro de él.

Seguridad Estática

Secure Code Analysis, o, Static Code Analysis, o Static Security, o Static Application Security Testing, seguramente, hay más términos y acrónimos, se usa para encontrar vulnerabilidades de seguridad y debilidades en el código. Está automatizado y también puede ser manual (dependiendo del contexto) que profundiza en el código fuente de una aplicación para identificar vulnerabilidades de seguridad relacionadas con (pero no limitado a) validación de entrada, integridad de datos, autenticación, autorización, criptografía y mucho más. El objetivo principal del análisis de código seguro es encontrar y corregir las vulnerabilidades de seguridad mucho antes en todo el ciclo de vida del desarrollo (mientras se escribe el código), para tener una mayor reducción en la probabilidad de infracciones de seguridad de la aplicación, garantizando la seguridad y confiabilidad del código de programa

Seguridad Dinámica

Dynamic Testing, o Dynamic Security, o Dynamic Application Security Testing, seguramente, una vez más, hay más términos y siglas, es un tipo de testing de seguridad que evalúa una aplicación mientras está en uso/ejecutándose. Examina el programa en busca de fallas que un atacante podría aprovechar. Simula la vista de un atacante para imitar ataques inspeccionando las respuestas de la aplicación para ver si hay alguna vulnerabilidad. Está automatizado y también puede ser manual (según el contexto). En otras palabras, la seguridad dinámica evalúa el comportamiento de la aplicación en tiempo real para identificar vulnerabilidades.

Análisis de composición de software

El análisis de composición de software (SCA) es una práctica de seguridad que implica examinar los componentes de software y las dependencias utilizadas en una aplicación para identificar posibles amenazas de seguridad y problemas de licencia. Las herramientas SCA analizan el código fuente, las bibliotecas, los marcos y otros componentes de una aplicación para crear una lista completa de todos los componentes de software utilizados en la aplicación. El objetivo principal de SCA es evaluar los riesgos asociados con el uso de componentes de software de terceros que pueden presentar riesgos de seguridad significativos si contienen vulnerabilidades u otras debilidades.