Desarrollador Seguro .NET (incluye OWASP)

I. Introducción a la programación segura y la seguridad de aplicaciones web

1. Panorama de amenazas de las aplicaciones web modernas

• Vectores de ataque comunes en aplicaciones web
• Riesgos de seguridad en aplicaciones ASP.NET modernas
• El papel de la programación segura en el desarrollo de software
• Introducción a la Fundación OWASP y sus recursos

2. Principios del desarrollo de software seguro

• Seguridad desde el diseño
• Defensa en profundidad
• Principio de menor privilegio
• Fallo seguro
• Configuraciones predeterminadas seguras
• Fundamentos del modelado de amenazas

II. Ciclo de Vida del Desarrollo Seguro (SDL)

1. Ciclo de vida del desarrollo de software seguro

• Seguridad a lo largo del ciclo de desarrollo
• Requisitos de seguridad
• Arquitectura y diseño seguros
• Prácticas de codificación segura
• Pruebas y validación de seguridad
• Despliegue y mantenimiento seguros

2. Evaluación de riesgos y modelado de amenazas

• Identificación de activos y amenazas
• Análisis de la superficie de ataque
• Resumen del modelo STRIDE
• Priorización de riesgos de seguridad

III. OWASP Top 10 para aplicaciones ASP.NET

1. Comprensión del listado OWASP Top 10

• Control de acceso roto
• Fallos criptográficos
• Inyección
• Diseño inseguro
• Mala configuración de seguridad
• Componentes vulnerables y desactualizados
• Fallos de identificación y autenticación
• Fallos en la integridad del software y los datos
• Fallos en registros y monitoreo de seguridad
• Forgeja de peticiones del lado del servidor (SSRF)

2. Aplicación de recomendaciones OWASP

• Técnicas de codificación segura
• Controles preventivos
• Prácticas seguras de configuración
• Ejemplos y demostraciones del mundo real

IV. Seguridad en autenticación y autorización

1. Fundamentos de la autenticación

• Mecanismos de autenticación en ASP.NET
• Seguridad de las contraseñas
• Autenticación multifactor
• Gestión de sesiones
• Gestión de identidades

2. Autorización y control de acceso

• Autorización basada en roles
• Autorización basada en reclamaciones (claims)
• Autorización basada en políticas
• Prevención de la elevación de privilegios
• Protección de recursos sensibles

V. Prevención de ataques de inyección

1. Vulnerabilidades de inyección

• Inyección SQL
• Inyección de comandos
• Inyección LDAP
• Inyección XML
• Resumen de la inyección NoSQL

2. Técnicas de codificación segura

• Consultas parametrizadas
• Validación de entrada
• Codificación de salida
• Consideraciones de seguridad en ORM (Mapeo Objeto-Relacional)
• Prácticas seguras de acceso a la base de datos

VI. Prevención de Cross-Site Scripting (XSS)

1. Comprensión del XSS

• XSS almacenado
• XSS reflejado
• XSS basado en el DOM
• Escenarios de ataque

2. Prevención del XSS

• Codificación de salida
• Validación de entrada
• Política de Seguridad de Contenido (CSP)
• Manejo seguro de HTML y JavaScript
• Características de seguridad de ASP.NET para la prevención de XSS

VII. Prevención de Cross-Site Request Forgery (CSRF)

1. Comprensión del CSRF

• Cómo funcionan los ataques CSRF
• Escenarios de ataque comunes
• Impacto empresarial

2. Protección contra CSRF

• Tokens antifalsificación (anti-forgery)
• Cookies SameSite
• Gestión segura de sesiones
• Mecanismos anti-falsificación de ASP.NET

VIII. Configuración segura de aplicaciones ASP.NET

1. Características de seguridad de ASP.NET

• Seguridad en la configuración
• Cabeceras HTTP seguras
• Configuración de HTTPS y TLS
• Gestión de secretos
• Manejo seguro de errores

2. Protección de datos sensibles

• APIs de protección de datos
• Almacenamiento seguro de credenciales
• Fundamentos del cifrado
• Gestión de claves

IX. Validación de entrada y manejo seguro de datos

1. Validación de entradas del usuario

• Listas blancas versus listas negras
• Validación en el servidor
• Consideraciones sobre la validación en el cliente
• Seguridad en la carga de archivos

2. Procesamiento seguro de datos

• Seguridad en la serialización
• Riesgos de deserialización
• Integridad de los datos
• Prácticas seguras de registro (logging)

X. Pruebas de penetración y verificación de seguridad

1. Metodología de pruebas de penetración

• Planificación de evaluaciones de seguridad
• Identificación de vulnerabilidades
• Conceptos de explotación
• Informe de hallazgos

2. Técnicas de prueba de seguridad

• Pruebas Estáticas de Seguridad de Aplicaciones (SAST)
• Pruebas Dinámicas de Seguridad de Aplicaciones (DAST)
• Pruebas Interactivas de Seguridad de Aplicaciones (IAST)
• Análisis de dependencias y componentes
• Revisión manual del código

XI. Aseguramiento de aplicaciones ASP.NET

1. Aplicación de prácticas de codificación segura

• Implementación segura de autenticación
• Implementación segura de autorización
• Seguridad de sesiones
• Manejo de excepciones
• Registro y monitoreo
• Consideraciones para el despliegue seguro

2. Mejores prácticas de seguridad

• Estándares de codificación segura
• Gestión de dependencias
• Gestión de parches
• Mejora continua de la seguridad

XII. Taller práctico de seguridad

1. Identificación y explotación de vulnerabilidades comunes

• Análisis de código ASP.NET inseguro
• Identificación de vulnerabilidades del OWASP Top 10
• Comprensión de técnicas de ataque
• Evaluación de la seguridad de la aplicación

2. Remediación de problemas de seguridad

• Aplicación de correcciones mediante codificación segura
• Validación de mitigaciones
• Pruebas de aplicaciones remediadas
• Ejercicio de revisión de codificación segura

XIII. Resumen y repaso del curso

1. Repaso de conceptos clave

• Principios de diseño seguro
• Estrategias de mitigación del OWASP Top 10
• Características de seguridad de ASP.NET
• Ciclo de vida del desarrollo seguro

2. Discusión final

• Mejores prácticas de codificación segura
• Incorporación de la seguridad en los equipos de desarrollo
• Recursos y herramientas adicionales de OWASP
• Preguntas y respuestas, así como siguientes pasos