Seguridad de Aplicaciones Web

Encontrar el fallo en el codigo antes que el atacante

6 módulos · 13 salas · 4 h 55 min

Casi todo lo que una empresa expone a internet es una aplicacion web, y casi todos los fallos que la hunden estan escritos en su propio codigo mucho antes de que alguien los aproveche. El ingeniero de seguridad de aplicaciones es quien los encuentra primero: lee el codigo, la configuracion y las respuestas del servidor, senala la linea exacta donde esta el fallo, lo clasifica con su CWE y escribe el arreglo que lo cierra. Aqui no se ataca nada. Trabajas sobre evidencia estatica —fragmentos de codigo fuente, archivos de configuracion, una respuesta HTTP guardada, un registro— de aplicaciones de empresas ficticias, y en cada sala localizas el fallo, eliges la correccion correcta y lo clasificas. Sales sabiendo auditar una aplicacion como quien la va a arreglar: reconocer la superficie expuesta, distinguir una inyeccion de un falso parecido, ver cuando el navegador ejecuta lo que no debe, detectar un control de acceso que no comprueba quien pregunta, y convertir un hallazgo en un informe que el equipo de desarrollo pueda cerrar. Alineacion a estandares internacionales: esta ruta declara su rol en NIST NICE (Secure Software Development, con Vulnerability Assessment and Management como secundario), en ENISA ECSF (Cybersecurity Implementer, con Cybersecurity Auditor como secundario), y practica la DETECCION en codigo de las debilidades que, sin corregir, habilitan tecnicas de MITRE ATT&CK: explotacion de aplicacion publica (T1190), interprete de comandos (T1059), y web shell plantada por una subida insegura (T1505.003). La ruta audita y cierra esas debilidades; no ejecuta las tecnicas.