Herramientas para análisis estático de seguridad

Herramientas para análisis estático de seguridad




Estático = se analiza sin ejecutar el software

• Ventajas:

• Consistencia. La herramienta ve lo que ve, sin ideas preconcebidas (que normalmente tienen los desarrolladores o revisores).

• Apuntan a la causa raíz, no a los síntomas. Una prueba de penetración puede establceder que hay un problema, pero no su causa final ni cómo corregirlo.

• Detección precoz. La aplicación no tiene que estar integrada ni necesita ejecutarse.

• Su ejecución es barata. Un sistema puede re-analizarse cuando se aplican cambios, o cuando se descubre una nueva vulnerabilidad de aplicación.

 Inconvenientes:

• Falsos positivos. Impacto (coste) crece al tener que evaluar cada positivo.

• Falsos negativos. Suelen ser incapaces de detectar vulnerabilidades de seguridad achacables al diseño, o específicas del contexto propio de la aplicación (se centran en vulnerabilidades genéricas, de codificación).

• ¿Qué es mejor? En seguridad, sin duda, baja tasa de falsos negativos sin una tasa desproporcionada de falsos positivos


Las etapas iniciales son similares a las que sigue un compilador.

 • El análisis semántico permite pasar a una representación interna del software en la que están representadas las nociones básicas para determinar defectos de seguridad: flujo de datos y llamadas, tipos y tamaños de las variables, entradas y recursos alcanzables, y qué entradas están bajo control (taint) del usuario. Este modelo incluye el entorno (librerías, funciones de sistema, etc.) 

• La “inteligencia” está codificada en reglas que un verificador aplica sobre el modelo interno para determinar posibles defectos.


1. Establecer objetivos

a. Priorizar qué partes a analizar

b. Entender el software (a alto nivel)

c. Comprender riesgos

2. Lanzar herramientas

a. Introducir reglas específicas

b. Compilar el código; lanzar herramienta

3. Revisar resultados

a. Revisión manual a partir de problemas potenciales

b. Si falso positivo: Reconfigurar; Si falso negativo: Añadir regla

c. Registro de problemas (informe formal, gestor de defectos…)

4. Introducir correcciones

a. Revisar (manual/automáticamente) cambios

b. Actualizar “Buenas prácticas”, objetivos alcanzados, y reglas


 ¿Quién ejecuta la herramienta?

• Seguridad del software, desarrolladores, o mejor ambos.

• ¿Cuándo?

• Desde el IDE del programador; en subida de código al

control de versiones; en script de build; al librerar una

versión; en procesos formales de auditoría de código.

• No olvidar que la MAYOR CARGA (90%) de trabajo se

consume al analizar resultados e introducir correcciones.

• ¿Cómo tratar los resultados?

• “Si hay riesgo, se bloquea la liberación de la versión”

• “Una autoridad central filtra y decide”

• Usar aproximación incremental al adoptar técnicas:

• Recordar las tácticas empleadas con los IDS/IPS


Cuestionario

link Herramientas para análisis estático de seguridad

Comentarios

Publicar un comentario

Entradas populares de este blog

Solución sistema ecuaciones método de Gauss-Jordan

Imagen
 En el texto de la entrada transcribe las matrices asociadas a cada paso para solucionar el sistema de ecuaciones mediante este método . Explica adecuadamente en en qué consiste la diferencia entre el método Gauss y el Gauss-Jordan Un sistema de ecuaciones se resuelve por el método de Gauss cuando se obtienen sus soluciones mediante la reducción del sistema dado a otro equivalente en el que cada ecuación tiene una incógnita menos que la anterior. El método de Gauss transforma la matriz de coeficientes en una matriz triangular superior. El método de Gauss-Jordan  continúa el proceso de transformación hasta obtener una matriz diagonal. Explica adecuadamente cuál es la ventaja de aplicar el método de Gauss-Jordan Una de las principales razones para incluir el método de Gauss-Jordan, es la de proporcionar un método directo para obtener la matriz inversa. Este metodo de Gauss- Jordan se distingue del método Gaussiano en que cuando se elimina una incógnita, se elimina de todas ...
Leer más

Presentación Fundamentos de Programación

Imagen
En la s iguiente entrada trataremos la definición de algoritmo y lo aprendido en el reto del Laberinto Clásico . ¿Qué es un algoritmo? La manera en la que los seres humanos se mueven en la sociedad, ocurre por el uso de razón y una serie de criterios. En muchos espacios utilizamos lo que representa el significado de un algoritmo , esto porque para realizar un sin fin de actividades incluso en la cotidianidad, es necesario seguir unas instrucciones especificas.  El uso de la razón ha permitido el avance de países y en el aspecto tecnológico, las computadoras son instrumentos para muchas finalidades y funcionan a base de realizar tareas , obedeciendo así a una secuencia, y nace de la necesidad de solucionar problemas. Entonces, un algoritmo se refiere a una secuencia lógica que permite cumplir una tarea o un objetivo en especifico.  Imagen tomada de  https://n9.cl/0ka5   Para realizar un algoritmo primero se debe conocer cual es el problema que se pretende res...
Leer más