Una fuente principal de incidentes que ponen en riesgo la seguridad de la información y el funcio... more Una fuente principal de incidentes que ponen en riesgo la seguridad de la información y el funcionamiento esperado de los sistemas basados en tecnologías de la información y de las comunicaciones es la dificultad de producir software seguro. Concebir a la seguridad del software como un atributo emergente de su proceso de desarrollo es una visión que ha comenzado a lograr consenso entre los actores vinculados directamente con su producción. Disponer de las capacidades necesarias para atender a esta demanda es, ante todo, una decisión estratégica, que no es sencilla de adoptar ni de rápidos resultados. Por ello, la posibilidad de tomar decisiones bien informadas resulta clave para guiar a los responsables de negocio y de tecnología. En este informe se describen proyectos, desarrollados en conjunto entre el sector universitario, empresas y estado, orientados a la atención de la seguridad en los procesos de desarrollo de software.
Los actuales sistemas en red de gran escala altamente distribuidos mejoran la eficiencia y la efe... more Los actuales sistemas en red de gran escala altamente distribuidos mejoran la eficiencia y la efectividad de las organizaciones al permitir la integración general de la organización en niveles nuevos. No obstante, tal integración viene acompañada por elevados riesgos de intrusión y compromiso. Estos riesgos pueden ser mitigados mediante la incorporación de capacidades de supervivencia dentro de los sistemas de la organización. Como una disciplina emergente, la supervivencia se apoya en campos de estudio relacionados (por ejemplo, seguridad, tolerancia a fallo, protección, fiabilidad, reutilización, desempeño, verificación, y testeo) e introduce nuevos conceptos y principios.
Una fuente principal de incidentes que ponen en riesgo la seguridad de la información y el funcio... more Una fuente principal de incidentes que ponen en riesgo la seguridad de la información y el funcionamiento esperado de los sistemas basados en tecnologías de la información y de las comunicaciones es la dificultad de producir software seguro. Concebir a la seguridad del software como un atributo emergente de su proceso de desarrollo es una visión que ha comenzado a lograr consenso entre los actores vinculados directamente con su producción. Disponer de las capacidades necesarias para atender a esta demanda es, ante todo, una decisión estratégica, que no es sencilla de adoptar ni de rápidos resultados. Por ello, la posibilidad de tomar decisiones bien informadas resulta clave para guiar a los responsables de negocio y de tecnología. En este informe se describen proyectos, desarrollados en conjunto entre el sector universitario, empresas y estado, orientados a la atención de la seguridad en los procesos de desarrollo de software.
Resumen. No hay dudas respecto de que la seguridad de las aplicaciones web es un tema de interes ... more Resumen. No hay dudas respecto de que la seguridad de las aplicaciones web es un tema de interes actual y cotidiano. Las complejas y sensibles funcionalidades de las actuales aplicaciones web ha movido el perimetro de seguridad de las organizaciones, y una parte significativa del mismo ahora reside en las propias aplicaciones web. Y los privilegios de acceso a funcionalidades y datos ya no son uniformes y abiertos, sino que requieren de complejos esquemas., resultando esencial la fortaleza de los mecanismos de control de acceso. Las debilidades en los controles de acceso pueden surgir de diferentes fuentes: un diseno pobre de la aplicacion hace muy dificil y hasta imposible el chequeo por accesos no autorizados, un simple descuido puede dejar desprotegidas funcionalidades criticas, o suposiciones erroneas acerca del comportamiento de los usuarios dejan a una aplicacion web sin proteccion y pasible de un quiebre de seguridad. En muchos casos, detectar una brecha en los controles de a...
Web Service es una de las tecnologías y estándares comúnmente usada para implementar SOA. Pero, a... more Web Service es una de las tecnologías y estándares comúnmente usada para implementar SOA. Pero, aplicar una capa de Web Service sobre aplicaciones legadas o componentes, no garantiza las propiedades SOA requeridas. Es necesario disponer de un enfoque sistemático y completo que tenga en cuenta los requerimientos de negocio y siga las prácticas recomendadas. La interoperabilidad es el principal problema a resolver a la hora de diseñar y desarrollar sistemas basados en servicios, pero esta facilidad de inter-operar no está completa si no se consideran los aspectos de seguridad en esta interoperación. En este trabajo se realiza primeramente un análisis y selección de propuestas para el modelado de arquitecturas basadas en servicios. Luego se analizan propuestas existentes para tratar el aspecto de seguridad en arquitecturas de software interoperables, y se discuten algunas propuestas para modelar específicamente la seguridad en arquitecturas de software. Del análisis se desprende que un...
La principal caracteristica de un software seguro reside en la natura- leza de los procesos y las... more La principal caracteristica de un software seguro reside en la natura- leza de los procesos y las practicas utilizadas para especificar, disenar, desarro- llar y desplegar el software. La atencion temprana de la seguridad tiene que ver con la adopcion de un conjunto de actividades que hacen posible la integracion de la misma en el ciclo de vida de desarrollo de software. Los patrones de segu- ridad aplican el concepto de patron al dominio de la seguridad, describiendo un problema particular de seguridad recurrente que ocurre en un contexto especifi- co y presentando una solucion probada, permitiendo una transferencia eficiente de experiencia y de conocimientos. La descripcion de un patron debe ayudar a capturar de manera inmediata su esencia: cual es el problema al que atiende y cual es la solucion propuesta. Los diferentes formatos existentes para su des- cripcion y la multiplicidad de fuentes donde se encuentran disponibles, hacen que su descubrimiento demande esfuerzo que desalie...
Resumen. La característica de “software seguro” reside en la naturaleza de los procesos y las prá... more Resumen. La característica de “software seguro” reside en la naturaleza de los procesos y las prácticas utilizadas para especificar, diseñar, desarrollar y desplegar el software. Un proceso mejorado para la seguridad incorpora prácticas para reducir el número de errores y debilidades explotables. Los patrones de seguridad constituyen un aporte para salvar el vacío entre teoría y práctica, y pueden emplearse en organizaciones con distinto grado de madurez. Este trabajo se centra en patrones de seguridad asociados al diseño y considera la inclusión de funciones relativas al control de acceso. En particular trata la autorización de los privilegios de usuarios: proceso en que se determina qué acciones puede ejecutar un usuario autenticado, tanto sobre las funciones propias del software como sobre los datos que éstas manipulan. Se analiza un prototipado del patrón ROLE-BASED ACCESS CONTROL (RBAC), aplicado a sistemas de información de la gestión universitaria.
The main feature of secure software lies in the nature of processes and practices used to specify... more The main feature of secure software lies in the nature of processes and practices used to specify, design, develop and implement software. Security patterns applied the concept of pattern in the security realm. Its description helps to capture immediately the essence: what is the problem to which attends and what the proposed solution is. The different formats that exist for its description and the multiplicity of sources make its discovery demand effort that discourages the systematic use by potential recipients. This paper presents the prototype of a catalogue that seeks to establish a bridge between the knowledge and experience security experts and the needs of knowledge of software development teams.
Resumen. No hay dudas respecto de que la seguridad de las aplicaciones web es un tema de interés ... more Resumen. No hay dudas respecto de que la seguridad de las aplicaciones web es un tema de interés actual y cotidiano. Las complejas y sensibles funcionalidades de las actuales aplicaciones web ha movido el perímetro de seguridad de las organizaciones, y una parte significativa del mismo ahora reside en las propias aplicaciones web. Y los privilegios de acceso a funcionalidades y datos ya no son uniformes y abiertos, sino que requieren de complejos esquemas., resultando esencial la fortaleza de los mecanismos de control de acceso. Las debilidades en los controles de acceso pueden surgir de diferentes fuentes: un diseño pobre de la aplicación hace muy difícil y hasta imposible el chequeo por accesos no autorizados, un simple descuido puede dejar desprotegidas funcionalidades críticas, o suposiciones erróneas acerca del comportamiento de los usuarios dejan a una aplicación web sin protección y pasible de un quiebre de seguridad. En muchos casos, detectar una brecha en los controles de acceso puede resultar trivial, pero en otros casos, puede ser muy difícil, quedando ocultos defectos sutiles dentro de la lógica de la aplicación, especialmente en aplicaciones complejas y de alta seguridad. La lección más importante es que cuando se chequea la robustez de los controles de acceso se debe mirar en todas direcciones, debiendo ser paciente y testear cada paso particular de todas las funcionalidades de la aplicación.
Una fuente principal de incidentes que ponen en riesgo la seguridad de la información y el funcio... more Una fuente principal de incidentes que ponen en riesgo la seguridad de la información y el funcionamiento esperado de los sistemas basados en tecnologías de la información y de las comunicaciones es la dificultad de producir software seguro. Concebir a la seguridad del software como un atributo emergente de su proceso de desarrollo es una visión que ha comenzado a lograr consenso entre los actores vinculados directamente con su producción. Disponer de las capacidades necesarias para atender a esta demanda es, ante todo, una decisión estratégica, que no es sencilla de adoptar ni de rápidos resultados. Por ello, la posibilidad de tomar decisiones bien informadas resulta clave para guiar a los responsables de negocio y de tecnología. En este informe se describen proyectos, desarrollados en conjunto entre el sector universitario, empresas y estado, orientados a la atención de la seguridad en los procesos de desarrollo de software.
Los actuales sistemas en red de gran escala altamente distribuidos mejoran la eficiencia y la efe... more Los actuales sistemas en red de gran escala altamente distribuidos mejoran la eficiencia y la efectividad de las organizaciones al permitir la integración general de la organización en niveles nuevos. No obstante, tal integración viene acompañada por elevados riesgos de intrusión y compromiso. Estos riesgos pueden ser mitigados mediante la incorporación de capacidades de supervivencia dentro de los sistemas de la organización. Como una disciplina emergente, la supervivencia se apoya en campos de estudio relacionados (por ejemplo, seguridad, tolerancia a fallo, protección, fiabilidad, reutilización, desempeño, verificación, y testeo) e introduce nuevos conceptos y principios.
Una fuente principal de incidentes que ponen en riesgo la seguridad de la información y el funcio... more Una fuente principal de incidentes que ponen en riesgo la seguridad de la información y el funcionamiento esperado de los sistemas basados en tecnologías de la información y de las comunicaciones es la dificultad de producir software seguro. Concebir a la seguridad del software como un atributo emergente de su proceso de desarrollo es una visión que ha comenzado a lograr consenso entre los actores vinculados directamente con su producción. Disponer de las capacidades necesarias para atender a esta demanda es, ante todo, una decisión estratégica, que no es sencilla de adoptar ni de rápidos resultados. Por ello, la posibilidad de tomar decisiones bien informadas resulta clave para guiar a los responsables de negocio y de tecnología. En este informe se describen proyectos, desarrollados en conjunto entre el sector universitario, empresas y estado, orientados a la atención de la seguridad en los procesos de desarrollo de software.
Resumen. No hay dudas respecto de que la seguridad de las aplicaciones web es un tema de interes ... more Resumen. No hay dudas respecto de que la seguridad de las aplicaciones web es un tema de interes actual y cotidiano. Las complejas y sensibles funcionalidades de las actuales aplicaciones web ha movido el perimetro de seguridad de las organizaciones, y una parte significativa del mismo ahora reside en las propias aplicaciones web. Y los privilegios de acceso a funcionalidades y datos ya no son uniformes y abiertos, sino que requieren de complejos esquemas., resultando esencial la fortaleza de los mecanismos de control de acceso. Las debilidades en los controles de acceso pueden surgir de diferentes fuentes: un diseno pobre de la aplicacion hace muy dificil y hasta imposible el chequeo por accesos no autorizados, un simple descuido puede dejar desprotegidas funcionalidades criticas, o suposiciones erroneas acerca del comportamiento de los usuarios dejan a una aplicacion web sin proteccion y pasible de un quiebre de seguridad. En muchos casos, detectar una brecha en los controles de a...
Web Service es una de las tecnologías y estándares comúnmente usada para implementar SOA. Pero, a... more Web Service es una de las tecnologías y estándares comúnmente usada para implementar SOA. Pero, aplicar una capa de Web Service sobre aplicaciones legadas o componentes, no garantiza las propiedades SOA requeridas. Es necesario disponer de un enfoque sistemático y completo que tenga en cuenta los requerimientos de negocio y siga las prácticas recomendadas. La interoperabilidad es el principal problema a resolver a la hora de diseñar y desarrollar sistemas basados en servicios, pero esta facilidad de inter-operar no está completa si no se consideran los aspectos de seguridad en esta interoperación. En este trabajo se realiza primeramente un análisis y selección de propuestas para el modelado de arquitecturas basadas en servicios. Luego se analizan propuestas existentes para tratar el aspecto de seguridad en arquitecturas de software interoperables, y se discuten algunas propuestas para modelar específicamente la seguridad en arquitecturas de software. Del análisis se desprende que un...
La principal caracteristica de un software seguro reside en la natura- leza de los procesos y las... more La principal caracteristica de un software seguro reside en la natura- leza de los procesos y las practicas utilizadas para especificar, disenar, desarro- llar y desplegar el software. La atencion temprana de la seguridad tiene que ver con la adopcion de un conjunto de actividades que hacen posible la integracion de la misma en el ciclo de vida de desarrollo de software. Los patrones de segu- ridad aplican el concepto de patron al dominio de la seguridad, describiendo un problema particular de seguridad recurrente que ocurre en un contexto especifi- co y presentando una solucion probada, permitiendo una transferencia eficiente de experiencia y de conocimientos. La descripcion de un patron debe ayudar a capturar de manera inmediata su esencia: cual es el problema al que atiende y cual es la solucion propuesta. Los diferentes formatos existentes para su des- cripcion y la multiplicidad de fuentes donde se encuentran disponibles, hacen que su descubrimiento demande esfuerzo que desalie...
Resumen. La característica de “software seguro” reside en la naturaleza de los procesos y las prá... more Resumen. La característica de “software seguro” reside en la naturaleza de los procesos y las prácticas utilizadas para especificar, diseñar, desarrollar y desplegar el software. Un proceso mejorado para la seguridad incorpora prácticas para reducir el número de errores y debilidades explotables. Los patrones de seguridad constituyen un aporte para salvar el vacío entre teoría y práctica, y pueden emplearse en organizaciones con distinto grado de madurez. Este trabajo se centra en patrones de seguridad asociados al diseño y considera la inclusión de funciones relativas al control de acceso. En particular trata la autorización de los privilegios de usuarios: proceso en que se determina qué acciones puede ejecutar un usuario autenticado, tanto sobre las funciones propias del software como sobre los datos que éstas manipulan. Se analiza un prototipado del patrón ROLE-BASED ACCESS CONTROL (RBAC), aplicado a sistemas de información de la gestión universitaria.
The main feature of secure software lies in the nature of processes and practices used to specify... more The main feature of secure software lies in the nature of processes and practices used to specify, design, develop and implement software. Security patterns applied the concept of pattern in the security realm. Its description helps to capture immediately the essence: what is the problem to which attends and what the proposed solution is. The different formats that exist for its description and the multiplicity of sources make its discovery demand effort that discourages the systematic use by potential recipients. This paper presents the prototype of a catalogue that seeks to establish a bridge between the knowledge and experience security experts and the needs of knowledge of software development teams.
Resumen. No hay dudas respecto de que la seguridad de las aplicaciones web es un tema de interés ... more Resumen. No hay dudas respecto de que la seguridad de las aplicaciones web es un tema de interés actual y cotidiano. Las complejas y sensibles funcionalidades de las actuales aplicaciones web ha movido el perímetro de seguridad de las organizaciones, y una parte significativa del mismo ahora reside en las propias aplicaciones web. Y los privilegios de acceso a funcionalidades y datos ya no son uniformes y abiertos, sino que requieren de complejos esquemas., resultando esencial la fortaleza de los mecanismos de control de acceso. Las debilidades en los controles de acceso pueden surgir de diferentes fuentes: un diseño pobre de la aplicación hace muy difícil y hasta imposible el chequeo por accesos no autorizados, un simple descuido puede dejar desprotegidas funcionalidades críticas, o suposiciones erróneas acerca del comportamiento de los usuarios dejan a una aplicación web sin protección y pasible de un quiebre de seguridad. En muchos casos, detectar una brecha en los controles de acceso puede resultar trivial, pero en otros casos, puede ser muy difícil, quedando ocultos defectos sutiles dentro de la lógica de la aplicación, especialmente en aplicaciones complejas y de alta seguridad. La lección más importante es que cuando se chequea la robustez de los controles de acceso se debe mirar en todas direcciones, debiendo ser paciente y testear cada paso particular de todas las funcionalidades de la aplicación.
Uploads
Papers by Susana Romaniz