Contacta con nosotros

Temario del curso

1. Seguridad de TI y codificación segura

  • Principios Fundamentales de Seguridad: Confidencialidad, Integridad y Disponibilidad (CIA) en el contexto de las aplicaciones Java.
  • Ciclo de Vida de Desarrollo de Software Seguro (SSDLC): Integrar la seguridad desde los requisitos hasta el despliegue.
  • Paradigmas de Codificación Segura: Defensa en profundidad, principio de privilegio mínimo y valores predeterminados a salvo.
  • Clasificaciones Estándar de Vulnerabilidades: Comprensión de CWE (Enumeración de Debilidades Comunes) y OWASP.

2. Seguridad de aplicaciones web

  • Estudio Profundo de los OWASP Top Ten: Análisis detallado de Inyección, Autenticación Rota y Exposición de Datos Sensibles.
  • Cross-Site Scripting (XSS): Escenarios de XSS reflejado, almacenado y basado en DOM en Java/JSP.
  • Cross-Site Request Forgery (CSRF): Mecanismos de ataque e implementación de tokens Anti-CSRF.
  • Gestión de Sesiones: Seguridad de cookies, fijación de sesión y gestión del tiempo de espera.
  • Seguridad de API: Protección de los endpoints REST y SOAP contra abusos.

3. Seguridad de los servicios web

  • Servicios Web vs. Aplicaciones Web Tradicionales: Diferencias en las superficies de ataque.
  • Seguridad de la Capa de Transporte: Configuración de SSL/TLS para clientes y servidores Java.
  • Seguridad de Mensajes: Integridad y Confidencialidad a nivel de la carga útil.
  • Estándares de Autenticación: Implementación de OAuth 2.0, OpenID Connect y JWT (Tokens Web JSON).

4. Seguridad de XML

  • Vulnerabilidades en el Análisis de XML: Prevención de ataques de Entidad Externa XML (XXE).
  • Validación de Esquemas XML: Mejores prácticas para la aplicación estricta de esquemas.
  • Firmas Digitales XML: Implementación de firmas para garantizar la no repudio.
  • Cifrado XML: Enfoques estándar para cifrar contenido XML.

5. Fundamentos de la seguridad en Java

  • La Arquitectura de Seguridad de Java: El paquete java.security y la arquitectura de proveedores.
  • Proveedores de Seguridad: Instalación y configuración de proveedores como Bouncy Castle.
  • Control de Acceso: Archivos de política, Permisos y el Administrador de Seguridad (Legado vs. Moderno).
  • Gestión de KeyStore: Creación y gestión de almacenes de claves y truststores para certificados.

6. Criptografía práctica

  • Algoritmos Criptográficos: Visión general de algoritmos Simétricos (AES), Asimétricos (RSA, ECC) y Hashing (SHA-256/512).
  • Generación de Números Aleatorios: Los peligros de java.util.Random frente a java.security.SecureRandom.
  • Gestión de Claves: Estrategias de generación, almacenamiento y rotación de claves.
  • Arquitectura de Criptografía de Java (JCA): Uso de las clases Cipher, MessageDigest y Mac.
  • Extensión de Criptografía de Java (JCE): Comprensión de los archivos de política y la jurisdicción de fuerza ilimitada.

7. Servicios de seguridad de Java

  • SSL/TLS en Java: Uso de SSLSocketFactory y HttpsURLConnection.
  • Administradores de Confianza (Trust Managers): Personalización de la verificación de confianza para entornos PKI privados.
  • Autenticadores: Autenticación programática utilizando Authenticator.getDefault().
  • Análisis de Certificados: Lectura y análisis programático de certificados X.509.

8. Seguridad de Java EE

  • Seguridad Declarativa: Control de acceso basado en roles (RBAC) usando web.xml y anotaciones.
  • Seguridad Programática: Uso de HttpServletRequest.isUserInRole() y getRemoteUser().
  • JAAS (Servicio de Autenticación y Autorización de Java): Configuración de login.conf e implementación de LoginModules.
  • Seguridad de Servlets: Restricciones de seguridad administradas por el contenedor y métodos de autenticación (FORM, BASIC, DIGEST).

9. Errores de codificación y vulnerabilidades comunes

  • Deserialización Insegura: Los riesgos de ObjectInputStream y eludir las comprobaciones de seguridad.
  • Inyección de Comandos: Mitigación de vulnerabilidades de ejecución a nivel del sistema operativo.
  • Recorrido de Ruta: Sanitización de entradas del sistema de archivos para prevenir el recorrido de directorios.
  • Abuso de Reflexión: Riesgos asociados con java.lang.reflect y eludir el control de acceso.
  • Credenciales Codificadas: Identificación y eliminación de secretos del código fuente.
  • Errores en la Implementación Criptográfica: Uso del modo ECB, claves débiles o IVs estáticos.

10. Fuentes de conocimiento

  • Herramientas de Análisis Estático: Uso de SonarQube, Checkmarx y Fortify para análisis automatizado.
  • Herramientas de Análisis Dinámico: Visión general de Burp Suite y OWASP ZAP.
  • Bases de Datos CVE: Cómo rastrear y reaccionar ante nuevas vulnerabilidades del marco de trabajo de Java.
  • Lecturas Recomendadas: Lista de libros, documentación y listas de verificación de codificación segura.

Requerimientos

Ninguno.

 21 Horas

Número de participantes


Precio por participante

Testimonios (4)

Próximos cursos

Categorías Relacionadas