QA and Security Testing in the SDLC

Calidad y Seguridad en Procesos de Desarrollo
de Software
Roger Carhuatocto <roger.carhuatocto@in2.es> IN2-Ingeniería de la Información
www.IN2.es
GOS4i / IN2, Ingeniería de la Información

GOS4i / IN2, Ingeniería de la Información – 2005

Objetivos

• Reflexión sobre problema de la seguridad en las organizaciones y cómo se están
resolviendo.
• Énfasis en el Proceso de Desarrollo de Sofware (Preventivo)
• Énfasis en las metodologías de aseguramiento de la calidad y seguridad en procesos
de desarrollo de software como actividad preventiva.

[2] GOS4i / IN2,Ingeniería de la Información – 2005 Calidad y Seguridad en Procesos de Desarrollo de Software

Situación actual - Análisis

• Seguridad reactiva
– Antivirus
– IDS
– Firewall
– Honeypots, etc..
• Mucho testing, pentest, análisis de vulnerabilidades, poca Ingeniería.
– El Testing de Seguridad es usado para identificar vulnerabilidades sobre Producto Final.
– Ejm: Nessus
– Se soluciona los “bugs”, no el origen de ellos
• ¿Dónde está el origen de los problemas?
– Se usa enfoque reductivo, no holístico (enfoque sistémico) al resolver el problema de Seguridad
• Debilidad en el Sistema de Gestión de Seguridad
– Personas
– Software, Hardware y otro tipo de infraestructura
– Procesos de Negocio
– Información
– ¿Cuál es el elemento más débil?
• La seguridad no se ajusta a dónde se enfocan las actuales soluciones


Replanteando el problema:Enfoque Sistémico

• Busquemos el Origen del Problema de la Seguridad
• Usar un nuevo enfoque.
• Enfoque Sistémico del Problema de la Seguridad (Enfoque Holístico)
– Considerar todos los elementos: Personas, SW, HW, Información, Red, etc.
– Nos centramos en el elemento que nos interesa, el Software. Es el elemento más débil?
– Análisis del Proceso de Desarrollo SW en lugar del Producto resultante
– Definir acciones(seguridad preventiva) en cada etapa del Proceso de Desarrollo de SW


Enfoque Sistémico: Conclusiones

• Sólo estamos tomando acciones preventivas sobre el producto final (testing de
seguridad)
• Estamos descuidando la seguridad en otras etapas del Desarrollo de SW
• Existen elementos externos al proceso de Desarrollo de SW que se deben
considerar, ellos proporcionan ayuda en la prevención:
– Sistemas de Gestión de la Calidad
– Otros procesos de negocio (no de Desarrollo de SW) como Atención al Cliente,
Facturación, Contabilidad, etc.
– Recomendaciones y Metodologías
– Herramientas y Técnicas
• Bugtracking
• CVS
• Wiki
• Nmap, Nessus, etc….
• Testing tools, etc…


Campos de Acción de QA y Security

Desarrollo de
Software y Seguridad
Aplicaciones Preventiva

Sistemas de Gestión Seguridad
Lógica
Procesos Negocio

Networking, Seguridad
Sistemas e Reactiva
Infraestructura


Revisión del Ciclo de vida del Software

Análisis Diseño Construcción Transición

•Se define el “Qué?” •Se define el “Cómo?” •Construcción, integración y testing •A producción
•Qué aporta Seg. a Negocio? •Objetivos: •Interactivo •La seguridad aparece
•Prototipeo •Plan Operativo
•Herramientas: •Diseño de Sistema •Monitorización
•Requerimientos •Diseño de Objetos •Respuesta a incidentes
•Analisis Func y No-Func. •Diseño de Componentes
•Casos de Uso
•Herramientas:
•CRC Cards:
•Class, Responsibility, Collaboration
•Diagrama de Secuencias y Clases
•Definición Servicios Comunes:
•Logging, Security, Exception, Etc.
•Modelamiento de Amenazas por Casos de Uso
•Patrones de Diseño Funcional
•Patrones de Diseño de Seguridad (por Amenazas)
•Input Validator Pattern
•Aspect Oriented Programming
•Exception Manager Pattern
•Secure Logger Pattern

MÉTODOS, HERRAMIENTAS Y TÉCNICAS: QA & SECURITY


Enfoque Sistémico

• Enfoque Sistémico del Problema de la Calidad-Seguridad
en el Desarrollo de SW (Enfoque Holístico) Calidad Total
– Considerar todos los elementos: Personas, SW, HW, Forma de gestión de una organización centrada en la
Información, Red, etc. calidad basada en la participación de todos sus
– Nos centramos en el elemento que nos interesa (Diagrama miembros y que apunta al éxito a largo plazo por
deParetto). Es Software el elemento más débil? medio de la satisfacción del cliente y a proporcionar
beneficios para todos los miembros de la organización
– Análisis del Proceso de Desarrollo SW en lugar del
Producto resultante, extendible a otros elementos externos y para la sociedad.
del proceso
– El objetivo: definir acciones (seguridad preventiva) en cada
etapa del Proceso de Desarrollo de SW Ext Ext
– La Seguridad es un tipo de Calidad
• Herramientas: Proveedor Proceso Producto Cliente
– Sistemas de Gestión de la Calidad
– Otros procesos de negocio (no de Desarrollo de SW) como
Atención al Cliente, Facturación, Contabilidad, etc.
– Recomendaciones y Metodologías
– Herramientas y Técnicas
• Bugtracking
• CVS, Wiki
• Nmap, Nessus, etc….
• Testing tools, etc…


ROI en Security Software


Aplicando “Pareto”: El Software, el punto más débil


Metodologías y Estándares

• De Seguridad
– http://www.fistconference.org/data/presentaciones/estandaresymetodologiasdeseguridad.pdf
– Conferencias FIST, Nov. 2003 – Vicente Aceituno
• Generales
– Anexo-Estandares-QA-SEC_RCARHUATOCTO-v1.pdf


Conclusiones Finales

• Enfoque Sistémico (Holísitico)
• Aplicable a todo el proceso de desarrollo de SW,
incluye a la etapa de toma de requerimientos
• Usar Metodologías y Estándares de propósito
general y de seguridad


Referencias

Alan Cox on writing better software
By Basheera Khan - Thursday, 07 October 2004
http://www.pingwales.co.uk/software/cox-on-better-software.html

Dire Straits
The evolution of software opens new vistas for business... and the bad guys.
April 2004, By GARY MCGRAW & GREG HOGLUND
http://infosecuritymag.techtarget.com/ss/0,295796,sid6_iss366_art684,00.html

Introduction to Software Security
Date: Nov 2, 2001 By Gary McGraw, John Viega.
http://www.awprofessional.com/articles/printerfriendly.asp?p=23950

Centro de Desarrollo Microsoft Seguridad
http://www.microsoft.com/spanish/msdn/centro_recursos/security/default.asp


QA and Security Testing in the SDLC

Más contenido relacionado

La actualidad más candente (20)

Similar a QA and Security Testing in the SDLC (20)

Más de Roger CARHUATOCTO (20)

Último (20)

QA and Security Testing in the SDLC