Ponte en Contacto

Temario del curso

1. Seguridad de TI y codificación segura

  • Principios fundamentales de seguridad: Confidencialidad, Integridad y Disponibilidad (CID) en el contexto de aplicaciones Java.
  • Ciclo de vida de desarrollo de software seguro (SSDLC): Integración de la seguridad desde los requisitos hasta la implementación.
  • Paradigmas de codificación segura: Defensa en profundidad, menor privilegio y valores predeterminados de fallo seguro.
  • Clasificaciones estándar de vulnerabilidades: Comprensión de CWE (Enumeración de Debilidades Comunes) y OWASP.

2. Seguridad de aplicaciones web

  • Análisis detallado del OWASP Top Ten: Inyección, Autenticación rota y Exposición de datos sensibles.
  • Scripting entre sitios (XSS): Escenarios de XSS reflejado, almacenado y basado en DOM en Java/JSP.
  • Falsificación de solicitudes entre sitios (CSRF): Mecanismos de ataque e implementación de tokens Anti-CSRF.
  • Gestión de sesiones: Seguridad de cookies, fijación de sesión y gestión de tiempo de espera.
  • Seguridad de API: Protección de endpoints REST y SOAP contra abusos.

3. Seguridad de los servicios web

  • Servicios web frente a aplicaciones web tradicionales: Diferencias en las superficies de ataque.
  • Seguridad a nivel de transporte: Configuración de SSL/TLS para clientes y servidores Java.
  • Seguridad de mensajes: Integridad y confidencialidad a nivel de carga útil.
  • Estándares de autenticación: Implementación de OAuth 2.0, OpenID Connect y JWT (JSON Web Tokens).

4. Seguridad XML

  • Vulnerabilidades en el análisis de XML: Prevención de ataques de Entidades Externas XML (XXE).
  • Validación de esquemas XML: Mejores prácticas para la aplicación estricta de esquemas.
  • Firmas digitales XML: Implementación de firmas para garantizar la no repudio.
  • Cifrado XML: Enfoques estándar para cifrar contenido XML.

5. Fundamentos de la seguridad de Java

  • Arquitectura de seguridad de Java: El paquete java.security y la arquitectura de proveedores.
  • Proveedores de seguridad: Instalación y configuración de proveedores como Bouncy Castle.
  • Control de acceso: Archivos de políticas, permisos y el Administrador de Seguridad (Legacy frente a Moderno).
  • Gestión de KeyStores: Creación y administración de almacenes de claves y confianza para certificados.

6. Criptografía práctica

  • Algoritmos criptográficos: Visión general de algoritmos Simétricos (AES), Asímetricos (RSA, ECC) y de Hash (SHA-256/512).
  • Generación de números aleatorios: Los peligros de java.util.Random frente a java.security.SecureRandom.
  • Gestión de claves: Estrategias de generación, almacenamiento y rotación de claves.
  • Arquitectura de Criptografía de Java (JCA): Uso de las clases Cipher, MessageDigest y Mac.
  • Extensión de Criptografía de Java (JCE): Comprensión de archivos de política y jurisdicción de fuerza ilimitada.

7. Servicios de seguridad de Java

  • SSL/TLS en Java: Uso de SSLSocketFactory y HttpsURLConnection.
  • Administradores de confianza: Personalización de la verificación de confianza para entornos de PKI privados.
  • Autenticadores: Autenticación programática usando Authenticator.getDefault().
  • Análisis de certificados: Lectura y análisis programático de certificados X.509.

8. Seguridad de Java EE

  • Seguridad declarativa: Control de acceso basado en roles (RBAC) usando web.xml y anotaciones.
  • Seguridad programática: Uso de HttpServletRequest.isUserInRole() y getRemoteUser().
  • JAAS (Java Authentication and Authorization Service): Configuración de login.conf e implementación de módulos LoginModule.
  • Seguridad de Servlets: Restricciones de seguridad administradas por el contenedor y métodos de autenticación (FORM, BASIC, DIGEST).

9. Errores de codificación y vulnerabilidades comunes

  • Deserialización insegura: Los riesgos de ObjectInputStream y la elusión de comprobaciones de seguridad.
  • Inyección de comandos: Mitigación de vulnerabilidades de ejecución a nivel de sistema operativo.
  • Recorrido de rutas: Saneamiento de entradas del sistema de archivos para prevenir el recorrido de directorios.
  • Abuso de reflexión: Riesgos asociados con java.lang.reflect y la elusión del control de acceso.
  • Credenciales hardcodeadas: Identificación y eliminación de secretos del código fuente.
  • Errores en la implementación de criptografía: Uso de modo ECB, claves débiles o vectores de inicialización (IV) estáticos.

10. Fuentes de conocimiento

  • Herramientas de análisis estático: Uso de SonarQube, Checkmarx y Fortify para escaneo automatizado.
  • Herramientas de análisis dinámico: Visión general de Burp Suite y OWASP ZAP.
  • Bases de datos de CVE: Cómo hacer seguimiento y reaccionar a nuevas vulnerabilidades del marco Java.
  • Lecturas recomendadas: Lista de libros, documentación y listas de verificación de codificación segura.

Requerimientos

Ninguno.

 21 Horas

Número de participantes


Precio por participante

Reseñas (4)

Próximos cursos

Categorías Relacionadas