Curso de desarrollo de software seguro

Lección 1 • Seguridad en el Ciclo de Vida del Desarrollo de Software

Mapea las actividades de seguridad a cada fase del ciclo de vida del desarrollo de software, desde los requisitos hasta el despliegue. Muestra cómo la integración temprana reduce el costo y el riesgo.

Lección 2 • Objetivos de Seguridad y Principios Fundamentales

Define la confidencialidad, integridad y disponibilidad como restricciones de ingeniería. Conecta estos objetivos con las decisiones de diseño que se toman a lo largo del ciclo de vida del desarrollo.

Lección 3 • Mentalidad del Atacante y Conceptos de Amenazas

Introduce el pensamiento adversarial como una habilidad fundamental de ingeniería. Enseña cómo los atacantes identifican y explotan debilidades para informar el diseño defensivo.

Lección 4 • Categorías Comunes de Vulnerabilidades

Examina las clases de debilidades de software más prevalentes utilizando taxonomías estándar de la industria. Proporciona un vocabulario compartido para identificar y discutir fallos.

Lección 1 • Identificación y Clasificación de Amenazas

Aplica las categorías STRIDE a los elementos DFD para enumerar amenazas de manera sistemática. Introduce la puntuación DREAD y estilo CVSS para priorizar las amenazas identificadas.

Lección 2 • Mantenimiento y Actualización del Modelo de Amenazas

Aborda cómo evolucionan los modelos de amenazas a medida que los sistemas cambian con el tiempo. Establece desencadenantes y procesos para mantener los modelos precisos y procesables.

Lección 3 • Derivación de Requisitos de Seguridad

Convierte los resultados del modelo de amenazas en requisitos de seguridad verificables. Vincula cada requisito a una amenaza específica para mantener la trazabilidad.

Lección 4 • Metodologías de Modelado de Amenazas

Compara los principales enfoques estructurados para la identificación y análisis de amenazas. Capacita a los estudiantes para seleccionar la metodología adecuada para un contexto de proyecto determinado.

Lección 1 • Principios Fundamentales de Diseño Seguro

Cubre el privilegio mínimo, la defensa en profundidad, los valores predeterminados a prueba de fallos y la separación de funciones. Los estudiantes aplican cada principio a escenarios de diseño concretos.

Lección 2 • Selección y Aplicación de Criptografía

Guía la selección de primitivas criptográficas apropiadas para casos de uso comunes. Cubre opciones simétricas, asimétricas y de hashing sin requerir matemáticas profundas.

Lección 3 • Diseño de Autenticación y Sesiones

Diseña flujos de autenticación robustos y mecanismos seguros de gestión de sesiones. Aborda el almacenamiento de credenciales, patrones de múltiples factores y el ciclo de vida de la sesión.

Lección 4 • Diseño Seguro de API y Servicios

Aplica principios de diseño seguro específicamente a interfaces REST y orientadas a servicios. Cubre la validación de entradas, la limitación de velocidad y el manejo seguro de errores en la capa de la API.

Lección 1 • Manejo Seguro de Errores y Registro

Enseña un manejo de errores que prevenga la fuga de información a la vez que apoya el diagnóstico. Cubre prácticas de registro seguro que evitan la captura de datos sensibles.

Lección 2 • Concurrencia Segura y Gestión de Estado

Identifica condiciones de carrera y fallos de tiempo de verificación/tiempo de uso en código concurrente. Aplica sincronización y operaciones atómicas para eliminar vulnerabilidades basadas en el estado.

Lección 3 • Prevención de Secuencias de Comandos entre Sitios

Cubre XSS reflejado, almacenado y basado en DOM con mitigación específica para cada tipo. Introduce la Política de Seguridad de Contenido como un control de defensa en profundidad.

Lección 4 • Seguridad de la Memoria y Gestión de Recursos

Aborda los desbordamientos de búfer, el uso después de liberar y el agotamiento de recursos en el código de sistemas. Aplica patrones de memoria segura y controles del ciclo de vida de los recursos.

Lección 5 • Prevención de Ataques de Inyección

Aborda la inyección SQL, de comandos, LDAP y XML mediante parametrización y API seguras. Los estudiantes refactorizan código vulnerable para eliminar vectores de inyección.

Lección 1 • Pruebas de Fuzz y Pruebas Basadas en Propiedades

Aplica fuzzing para descubrir fallos inesperados en el manejo de entradas y bloqueos. Introduce las pruebas basadas en propiedades como complemento de las pruebas de seguridad basadas en ejemplos.

Lección 2 • Estrategia y Planificación de Pruebas de Seguridad

Define el alcance, los objetivos y los métodos para un programa de pruebas de seguridad. Alinea el esfuerzo de las pruebas con los resultados del modelo de amenazas y las prioridades de riesgo.

Lección 3 • Pruebas Dinámicas de Seguridad de Aplicaciones

Utiliza herramientas DAST para sondear aplicaciones en ejecución en busca de vulnerabilidades explotables. Cubre el escaneo autenticado, la configuración de arañas y la interpretación de resultados.

Lección 4 • Conceptos de Pruebas de Penetración

Introduce una metodología estructurada de pruebas de penetración, desde el reconocimiento hasta la elaboración de informes. Distingue las pruebas de penetración enfocadas en el desarrollador de los ejercicios completos de equipo rojo.

Lección 1 • Compilación Segura e Integridad de Artefactos

Aplica firma, hashing y seguimiento de procedencia a los artefactos de compilación. Asegura que lo que se despliega coincida con lo que fue revisado y aprobado.

Lección 2 • Mejores Prácticas de Gestión de Dependencias

Establece políticas para seleccionar, fijar y actualizar dependencias de terceros. Reduce la superficie de ataque mediante una huella de dependencia mínima.

Lección 3 • Análisis de Composición de Software

Utiliza herramientas SCA para inventariar componentes de código abierto y detectar vulnerabilidades conocidas. Cubre el cumplimiento de licencias como una preocupación paralela a la seguridad.

Lección 4 • Comprensión del Riesgo en la Cadena de Suministro de Software

Mapea la cadena de suministro de software moderna e identifica vectores de ataque en cada etapa. Establece por qué las dependencias transitivas amplifican el riesgo más allá de las dependencias directas.

Lección 1 • Seguridad de Contenedores e Imágenes

Asegura las imágenes de contenedor desde la selección de la imagen base hasta el despliegue en tiempo de ejecución. Cubre el escaneo de imágenes, las imágenes base mínimas y los controles de seguridad en tiempo de ejecución.

Lección 2 • Principios y Cultura de DevSecOps

Define la filosofía de desplazar a la izquierda y el modelo de responsabilidad compartida de seguridad. Aborda las barreras culturales para la adopción de la seguridad en equipos de desarrollo de ritmo rápido.

Lección 3 • Gestión de Secretos en Pipelines

Previene las credenciales incrustadas en el código mediante la integración de almacenes de secretos en los flujos de trabajo de compilación y despliegue. Cubre la rotación de secretos, el alcance de acceso y el registro de auditoría.

Lección 4 • Automatización de la Seguridad en Pipelines de CI

Integra SAST, SCA y el escaneo de secretos como etapas automatizadas del pipeline. Configura puertas de calidad que bloquean las compilaciones ante hallazgos de seguridad críticos.

Lección 1 • Diseño de Resiliencia y Recuperación

Diseña sistemas de software para degradarse de forma controlada y recuperarse rápidamente después de los ataques. Cubre estrategias de respaldo, patrones de conmutación por error y fundamentos de ingeniería del caos.

Lección 2 • Análisis y Aprendizaje Posterior al Incidente

Aplica autopsias sin culpa para extraer lecciones de seguridad de los incidentes. Convierte los hallazgos en mejoras concretas de código y procesos.

Lección 3 • Fundamentos de Respuesta a Incidentes

Introduce el ciclo de vida de la respuesta a incidentes y el rol del desarrollador dentro de él. Cubre las fases de preparación, detección, contención, erradicación y recuperación.

Lección 4 • Divulgación de Vulnerabilidades y Gestión de Parches

Establece procesos para recibir, clasificar y remediar vulnerabilidades reportadas. Cubre la divulgación coordinada, los plazos de parches y la comunicación con el cliente.