METODOLOGIA DE DESARROLLO WEB SEGURO BASADO EN FORMACION A MEDIDA

Introduccin. Las amenazas, debido a una mala programacin, pueden permitir al atacante desde la obtencin de las credenciales de un usuario, hasta la modificacin del contenido de la pgina web vulnerable pasando por la realizacin de acciones sin conocimiento del usuario como compras o transacciones bancarias. Para cada una de estas acciones hay soluciones ms o menos sencillas pero hace falta ms conciencia por parte del equipo de desarrollo para identificarlas en las diferentes fases del desarrollo. Por ello, hay que hacer hincapi en identificar en las fases de diseo adems de los casos de uso, los casos de abuso. Un caso de abuso, es la identificacin de las diferentes amenazas que pueden asociarse a un caso de uso. Una vez identificados los diferentes casos de abuso, el siguiente paso sera implantar y disear los controles para evitar estas amenazas. Hay que tener en cuenta que la mayora de las amenazas se mitigan a travs de una validacin robusta de los datos de entrada y esta metodologa se centra en esto para evitar el acceso no permitido. Adems hay que aadir el gasto que supone la correccin de las vulnerabilidades, este gasto es superior al gasto econmico que hubiera supuesto la realizacin de pruebas de identificacin de vulnerabilidades en el proceso de desarrollo software. He ah la importancia de que la Poltica de Seguridad de una organizacin sea un instrumento eficaz para proteger los recursos que posibilitan la prctica del modelo de negocio de dicha organizacin. Habitualmente, las polticas diferencian la aplicacin de medidas de carcter organizativo, administrativo o de gestin, de aquellas fundamentalmente tcnicas, que consisten en la implantacin de sistemas de seguridad hardware/software en la infraestructura tecnolgica existente; sin embargo, la combinacin de ambas puede dar lugar a nuevos conceptos de solucin. Es por esto que se analiza la Metodologa basada en formacin a medida en el mbito de la auditora tcnica de seguridad.

Metodologa propuesta. Cada vez son ms las organizaciones que dependen de la fiabilidad de sus servicios web para lograr sus objetivos de negocio. Por otra parte, el mercado exige que dichos servicios evolucionen rpidamente para adaptarse a las necesidades cambiantes del usuario y ofrecer en todo momento una propuesta diferenciadora e innovadora. Este marcado carcter dinmico puede entrar en conflicto con los requisitos de seguridad que indudablemente deben definirse para cada servicio. En muchos casos no es posible

realizar pruebas de seguridad sobre los servicios en proceso de desarrollo antes de que stos se trasladen a entornos productivos. Por este motivo, es preciso implantar una metodologa de desarrollo e integracin seguros que minimicen la necesidad de estas pruebas. Esta metodologa est basada en la integracin de cuatro actividades: anlisis del entorno de desarrollo (AED), realizacin de pruebas de intrusin (RPI) sobre los servicios web, sesiones de concientizacin (SC) y formacin especializada (FE) a cada uno de los perfiles del equipo de desarrollo.

Fases del proyecto El objetivo es proporcionar una visin completa y general de la forma en la que puede ponerse en prctica la metodologa propuesta. 1. Anlisis del entorno de desarrollo. En esta fase se estudian diferentes aspectos del enfoque de programacin utilizado por el equipo de desarrollo web de la organizacin. De esta forma se consigue una fotografa del estado actual que permite adecuar los nuevos procedimientos de desarrollo seguro a la metodologa existente. Algunos de los aspectos que se contemplan en esta fase son: Tecnologas de desarrollo. Herramientas de programacin. Arquitectura de los servicios web. Procedimientos de integracin. Organizacin del equipo de trabajo. Matriz de responsabilidad sobre las tareas.

Al trmino de esta fase es posible definir e interpretar las necesidades especficas de seguridad del enfoque de programacin actual. 2. Revisin tcnica de seguridad preliminar. La revisin tcnica preliminar se basa en la ejecucin de pruebas de intrusin para detectar las vulnerabilidades o deficiencias que existan actualmente en los servicios web de la organizacin. De esta forma es posible identificar aquellos problemas de seguridad que, por su criticidad, requieren la aplicacin de medidas de forma inmediata, as como orientar de manera ms precisa el contenido de las sesiones de formacin al equipo de desarrollo.

3. Elaboracin de un plan de formacin. Una vez finalizado el anlisis preliminar, se dispone de la informacin suficiente para elaborar un plan de formacin personalizado. En esta fase se confeccionan los temarios de las sesiones de concientizacin y formacin y las guas de programacin segura que se distribuirn entre los miembros del equipo de desarrollo. Las guas no son compendios generales con tcnicas de programacin segura sino que plantean soluciones especficas a los problemas encontrados en la fase de anlisis, describiendo la forma de reemplazar la tcnica o procedimiento actual con la alternativa segura que se propone. Las categoras de reemplazo que se describen en la gua son las siguientes: Cdigo fuente (para el desarrollador). Metodologa de programacin (para el analista programador). Procedimiento de integracin (para el ingeniero de sistemas). Asignacin de responsabilidades (para el jefe de proyecto).

4. Sesiones de concientizacin. En estas sesiones el equipo de desarrollo conoce las posibilidades que brinda a un atacante el empleo de metodologas de programacin que no contemplan cuestiones de seguridad. Se presentan las evidencias recogidas durante la revisin tcnica preliminar para contextualizar problemas genricos de seguridad en el mbito de los servicios web de la propia organizacin. El objetivo es concientizar a los miembros del equipo de desarrollo acerca de la necesidad de cambiar algunos aspectos de la metodologa actual. 5. Sesiones de formacin para especialistas. El objetivo de estas sesiones es formar a cada uno de los perfiles involucrados en la creacin de servicios web, indicando qu medidas pueden incorporar al desarrollo de su actividad para garantizar la adecuacin de los resultados a los requisitos de seguridad que exigen dichos servicios. En otras palabras, los miembros del equipo de desarrollo adquieren el know-how que les permite trabajar conforme a los principios de seguridad requeridos. 6. Aplicacin de la nueva metodologa. En esta fase se pone en marcha la nueva metodologa de desarrollo. La gua de programacin segura se convierte en el vehculo de la actividad desarrollada por cada uno de los perfiles del equipo, garantizado que en cada una de las tareas se emplean los procedimientos adecuados. 7. Evaluacin de resultados.

Las sucesivas revisiones tcnicas se utilizan como mecanismo de evaluacin del grado de aceptacin que la nueva metodologa est teniendo en el equipo de desarrollo. El grado de aceptacin se incrementa a medida que se corrigen las deficiencias encontradas en cada fase del proceso de revisin tcnica. Para llevar a cabo dicha correccin se identifica a los responsables de cada deficiencia con objeto de incidir en los aspectos de las sesiones formativas que no han sido tenidos en cuenta durante el desarrollo del servicio web. Esta etapa se da por finalizada cuando no es posible identificar nuevos procedimientos de intrusin para comprometer los servicios web de la organizacin. Obviamente, en este punto se habrn alcanzado los objetivos de seguridad fijados al comienzo del proyecto que involucra: Autenticacin y autorizacin Comunicaciones seguras Seguridad de intranet Seguridad de extranet Seguridad de Internet Seguridad de las aplicaciones Seguridad de Servicios Web Seguridad Remota Seguridad de acceso a datos Solucin de problemas de seguridad

Conclusiones. Para lograr implementacin de las normas de seguridad y desarrollar un sitio web seguro, lo primero que se debe realizar es un plan de concientizacin personalizado, al interior del grupo de desarrollo, que pueda garantizar el cumplimiento de los requisitos de seguridad en los servicios web, siguiendo las directrices fijadas por la OWASP y aplicando los conceptos de seguridad probados por Microsoft y orientados hacia la nube. Fuentes consultadas. http://dialnet.unirioja.es/servlet/articulo?codigo=1263202 http://translate.googleusercontent.com/translate_c?act=url&hl=es&ie=UTF8&prev=_t&ru rl=translate.google.com.co&sl=en&tl=es&u=http://msdn.microsoft.com/enus/library/ff649874.aspx&usg=ALkJrhjvBXxSGY3oxwSYpBTWnMyNFjXZVQ