OWASP Top 10 2023 de Seguridad en APIs: Guía Completa

• Definición de la Autorización a Nivel de Objeto y su Importancia

• Explicación de las Vulnerabilidades BOLA y su Prevalencia en las APIs

• Conexión con OWASP Top 10: Control de Acceso Roto

• Ejemplos del mundo real de filtraciones de datos debido a BOLA

• Consecuencias para organizaciones y usuarios por no seguir las mejores prácticas de BOLA

• Prácticas de Codificación Inseguras que Conducen a BOLA

Demostración de ejemplos de código: Problema y Solución - Ejemplo de Tienda Online

• Aplicación de mecanismos de autorización robustos

• Pruebas continuas y validación de la lógica de autorización

• Uso de Identificadores Únicos Universales Aleatorios (UUIDs)

• Consideraciones de implementación al integrar UUIDs en ecosistemas de API

• Protección de la Capa de Lógica de Negocio

• Implementación del Modelo de Seguridad Zero-Trust

• Cómo los principios de Zero-Trust mitigan las vulnerabilidades BOLA

• Comprensión de la Autenticación Rota - Definición

• Conceptos Erróneos Comunes sobre la Autenticación en APIs

• Mecanismos de Autenticación y sus Vulnerabilidades

• Facilidad de detección de problemas de autenticación con metodologías actuales

• Conexión con OWASP Top 10: Control de Acceso Roto

• Diferencia entre Autenticación y Control de Acceso

• Cómo la Autenticación Rota Puede Conducir a un Control de Acceso Roto

• Ejemplos de Vulnerabilidades y Explotaciones Interconectadas

• Causas de la Autenticación Rota

• Tipos de Ataques

• Factores Técnicos que Contribuyen a las Vulnerabilidades

• Ataques Automatizados

• Estándares y Prácticas Deficientes

• Falta de Mecanismos de Protección

• Mala Implementación de los Mecanismos de Autenticación

• Casos de Estudio

• Lecciones Aprendidas de los Casos de Estudio

• Impacto y Consecuencias de las Vulnerabilidades de Autenticación Rota

• Mejores Prácticas para Mitigar la Autenticación Rota

• OAuth VS OpenID

• Ejemplo de Código en la Vida Real - Demostración del Problema y Solución

• Ataques de Tiempo y Cómo Evitarlos

• Definición de Autorización Rota a Nivel de Propiedad de Objeto

• Importancia en la seguridad de las APIs

• Agentes de Amenaza y Vectores de Ataque

• Debilidades de Seguridad y sus Impactos

• Consecuencias Reales de las Vulnerabilidades

• Revisión de Ejemplo - Escenario #1: Seguimiento de Entrenamientos en una

• Aplicación de Fitness

• Revisión de Ejemplo - Escenario #2: Envío de Cuestionarios en una Plataforma de

• Aprendizaje en Línea

• Medidas de Prevención

  • Implementación de controles de acceso

  • Minimización de la exposición de datos

  • Uso de validación basada en esquemas

  • Evitar la dependencia de filtrado del lado del cliente

• Conceptos Relacionados

  • Exposición Excesiva de Datos (OWASP API3:2019)

  • Asignación Masiva (OWASP API6:2019)

Tienda Online: Revisión del Código Fuente de un Ejemplo Práctico

• Definición de Consumo Ilimitado de Recursos

• Agentes de Amenaza y Vectores de Ataque

• Errores de diseño típicos y problemas de configuración

• Análisis del Impacto Técnico

• Análisis del Impacto Empresarial

• Ejemplos del Mundo Real de Consumo Ilimitado de Recursos

• Abuso de SMS que Conduce a Pérdidas Financieras (NordVPN)

• Aumento de Costos de Almacenamiento en la Nube (Servicio de Descarga de Archivos)

• Ataque DDoS al Portal Fiscal de Polonia

• CWE-770: Asignación de Recursos sin Límites ni Regulación

• CWE-400: Consumo Incontrolado de Recursos

• CWE-799: Control Inadecuado de la Frecuencia de Interacción

• Detección de Consumo Ilimitado de Recursos

• Estrategias de Prevención

• Mejores Prácticas

Revisión del Código Fuente de un Ejemplo Práctico - Problema y Solución

• Definición y explicación de BFLA

• Diferencia entre BFLA y Autorización Rota a Nivel de Objeto

• Causas Raíz de BFLA

• Escenarios de Ataque y Ejemplos

• Consecuencias Potenciales de BFLA

• Cómo Detectar BFLA

• Técnicas de Prevención para BFLA

Revisión del Código Fuente de un Ejemplo Práctico - Problema y Solución

• Definición de Acceso Ilimitado a Flujos de Negocio Sensibles

• Importancia de comprender esta vulnerabilidad

• Diferencias entre UASBF y otras vulnerabilidades de API

• Cómo los atacantes explotan UASBF

• Escenarios comunes y ejemplos

• Ejemplos de Abuso de Lógica de Negocio

• Desafíos en la detección y protección

• Cómo abordar estos desafíos

• Impactos potenciales en las empresas

• Análisis de casos de estudio

• Ejemplo del mundo real: Abuso en la emisión de boletos de aerolíneas

• Prevención y mitigación - Capa de negocio

• Prevención y mitigación - Capa de ingeniería

• Pruebas para UASBF

• Mejores prácticas

Revisión del Código Fuente de un Ejemplo Práctico - Problema y Solución

• Introducción a SSRF

• Similitudes entre API7:2023 y A10:2021

• Diferencias entre API7:2023 y A10:2021

• Escenarios de Ataque en API7:2023

• Estrategias de Prevención

• Resumen y Conclusión

• Introducción a la Mala Configuración de Seguridad

• Similitudes entre API8:2023 y A05:2021

• Diferencias entre API8:2023 y A05:2021

• Escenarios de Ataque en API8:2023

• Estrategias de Prevención

• Resumen y Conclusión

• Definición e importancia de la gestión del inventario de APIs

• Desafíos comunes en el mantenimiento de inventarios de APIs

• El papel de una gestión adecuada del inventario en la seguridad de las APIs

• Discusión de Riesgos Claves:

  • Explotación de Vulnerabilidades

  • Amplificación de Riesgos

  • Problemas de Compatibilidad Cruzada

• Ejemplos del Mundo Real de Brechas de Seguridad Debidas a una Mala Gestión del Inventario

• APIs Legadas y sus Desafíos

• El Equilibrio entre Compatibilidad Retrospectiva y Seguridad

• Estrategias para una Gestión Eficaz del Inventario de APIs

Revisión del Código Fuente de un Ejemplo Práctico - Problema y Solución

• Definición e Importancia

• Conceptos Erróneos Comunes sobre la Seguridad en APIs

• Por qué las APIs son Vulnerables

• Principales Vulnerabilidades en el Consumo No Seguro de APIs

• Riesgos Claves Asociados con el Consumo No Seguro de APIs

• Ejemplos del Mundo Real y Casos de Estudio

• Cómo Detectar Vulnerabilidades en el Consumo No Seguro de APIs

• Estrategias de Mitigación

• Mejores Prácticas

Revisión del Código Fuente de un Ejemplo Práctico - Problema y Solución

• Qué es OWASP

• Qué es OWASP Top 10

• Por qué OWASP Top 10 es importante

• OWASP Top 10 2021

• Qué es Common Weakness Enumeration (CWE)

• Qué son Common Vulnerabilities and Exposures (CVE)

• Qué es el Common Vulnerability Scoring System (CVSS)

• OWASP Top 10 2017 VS OWASP 2021

• Qué es el Control de Acceso

• Autorización VS Autenticación

• Tipos de Control de Acceso

• OAuth (Visión General)

• JWT (Visión General)

• Qué es el Control de Acceso Roto

• Impacto

• Vulnerabilidad de ID Inseguro

• Vulnerabilidad de Recorrido de Directorios (Path Traversal)

• Ataque Poison Null Bytes

• Safelisting

• Vulnerabilidad de Caché en el Cliente

• Violación del principio de privilegio mínimo

• Elevación de privilegios

• Revisión del Enfoque de Gestión de Roles

• Cómo prevenir (incluyendo soluciones de diseño)

• Ejemplo de Escenarios de Ataque

• Visión General de los Fallos Criptográficos

• Las causas raíz más comunes

• Análisis comparativo entre OWASP Top 10 2017 y 2021

• Enumeraciones de Debilidades Comunes Notables

• Tipos de fallos criptográficos

• Datos personales VS Datos sensibles

• Tipos de datos sensibles

• Fallo criptográfico vs. Fuga de datos

• Qué provoca fallos criptográficos

• Ejemplo de escenarios de ataque

• Inyecciones SQL

• TLS y SSL

• HTTPS VS HTTP

• Habilitación de HTTPS en el servidor web Tomcat

• Ejemplo de escenarios de ataque

• Ejercicio práctico de cifrado de contraseñas

• Hashing de contraseñas

• Contraseñas con sal (Salted passwords)

• Algoritmos de hashing (MD5, SHA, PBKDF2, BCrypt y SCrypt)

• Cómo prevenir fallos criptográficos

• Categoría de Riesgo de Inyección: Visión General

• Fuzzing

• Enumeraciones de Debilidades Comunes Notables (CWEs)

• Impacto

• Comparación de la Inyección en OWASP Top 10 2021 y 2017

• Tipos de Inyección

• Inyección de Comandos

• Cross Site Scripting

• Tipos de Cross Site Scripting

• Inyección SQL

• Inyección JPA

• Inyección NoSQL

• XML: Inyección XPath

• Inyección de Registros

• Cómo prevenir vulnerabilidades de inyección

• Validación de Entrada: Objetivos

• Validación de Entrada: Estrategias

• Validación de Entrada: Técnicas

• Visión General del Diseño Inseguro

• Diseño Inseguro VS Implementación Insegura

• Enfoque de seguridad Shift Left

• CWEs Notables

• Qué es el diseño seguro

• Modelado de Amenazas

• Objetivo del Modelado de Amenazas

• Manifiesto de Modelado de Amenazas: Visión General

• Manifiesto de Modelado de Amenazas: Valores

• Manifiesto de Modelado de Amenazas: Principios

• Construcción de un proceso de diseño seguro

• Análisis de impacto empresarial

• Trabajo con el registro de amenazas

• Controles de seguridad

• Documento de diseño de seguridad

• Métricas del Proceso de Diseño Seguro

• Ejemplo de Ataques

• Cómo prevenir

• Visión General

• Impacto Potencial

• CWEs Notables

• Mala Configuración de Seguridad en OWASP Top 10 2021 VS 2017

• Tipos de mala configuración de seguridad

• Ejemplos de ataques en la vida real

• Arquitectura Federada

• Endurecimiento de Seguridad

• Modelo de Seguridad Zero Trust

• NIST 800-207

• Defensa en Profundidad

• NIST 800-123

• Mejores Prácticas para el Endurecimiento del Sistema

• Ejemplo de Ataques - Demostración

• Cómo prevenir

• Visión General

• Factores de Riesgo

• Por qué es difícil actualizar componentes obsoletos

• CWEs Notables

• Cómo los atacantes explotan componentes vulnerables

• Ejemplo de la vida real

• OWASP Top 10 2021 VS 2017

• Demostración del plugin de verificación de dependencias

• Escáneres de vulnerabilidades

• Cómo prevenir

• Visión General

• Impacto Potencial

• CWEs Notables

• OWASP Top 10 2017 VS 2021

• Cómo los atacantes explotan fallos de autenticación

• Fijación de Sesión

• Cross-Site Request Forgery (CSRF)

• Ejecución Después de Redirección (EAR)

• Factores de Riesgo

• Autenticación Multifactor (MFA)

• Revisión de diferentes factores

• Entropía del ID de Sesión

• Ejemplos de Ataques

• Credential Stuffing

• Acceso por Fuerza Bruta

• Secuestro de Sesión

• Cómo Prevenir

• Visión General

• Revisión del Impacto Potencial

• Enumeraciones de Debilidades Comunes

• OWASP Top 10 2017 VS 2021

• Ejemplos de Ataques

• Cómo Prevenir

• Qué es el registro y los logs

• Visión General de la Categoría de Fallos en el Registro y Monitoreo de Seguridad

• Impacto Potencial

• Factores de Riesgo

• Desafíos

• Herramientas de Gestión de Logs

• Librerías para Registro en Java

• Enumeraciones de Debilidades Comunes Notables

• OWASP Top 10 2017 VS 2021

• Ejemplos de Ataques

• Cómo Prevenir

• Visión General

• Relaciones de Confianza

• Factores de Riesgo

• Impacto Potencial

• Tipos de SSRF

• OWASP Top 10 2017 VS 2021

• Incidente de Capital One: Visión General

• Ejemplo de SSRF en Java

• Ejemplos de Ataques

• Cómo Prevenir