Metodologies d'Auditoria, SSDLC i Pentesting
Aquest mòdul descriu el "com" es treballa en seguretat. No es tracta només de trobar errors, sinó de seguir un procés estandarditzat per garantir que no ens deixem res i que el programari és segur des del seu naixement.
El Cicle de Vida de Desenvolupament Segur (SSDLC)
1.1 SDLC vs. SSDLC
1.2 Fases del SSDLC
📌 Planificació
Anàlisi de bretxes i requisits legals.
🗺️ Disseny
Modelat d'amenaces (Threat Modeling).
💻 Desenvolupament
Codificació segura (Secure Coding).
🧪 Proves
Tests d'unitat i proves de vulnerabilitat.
🚀 Desplegament
Proves de seguretat en la compilació.
🔧 Manteniment
Monitoratge i programes de recompenses (Bug Bounty).
Metodologies d'Auditoria Tècnica
Per fer un test d'intrusió (Pentesting) professional, no es poden fer proves improvisades. Cal seguir guies reconegudes:
OWASP WSTG — Web Security Testing Guide
La guia de referència per a aplicacions web. Cobreix totes les categories de proves que cal fer en un pentest web metòdic.
OSSTMM — Open Source Security Testing Methodology Manual
Una metodologia científica per a l'auditoria de seguretat operativa. Proposa una via de generació d'informes estandarditzada i quantificable.
NIST SP 800-115
Guia tècnica de l'institut nacional d'estàndards per realitzar avaluacions de seguretat de la informació de forma rigorosa.
El Procés de Pentesting (Test d'Intrusió)
3.1 Fases del Pentesting
🔎 Recopilació d'informació
Obtenir dades del servidor, ports oberts i tecnologies usades.
🔍 Escaneig i Anàlisi
Ús d'eines per trobar punts febles i vulnerabilitats candidates.
💥 Explotació
Intent real d'entrar al sistema: confirmació del risc real en condicions d'atac.
📄 Informe
Documentació del que s'ha trobat, l'impacte i com arreglar-ho.
Anàlisi de Riscos: Probabilitat i Impacte
4.1 Dimensions del Risc
Impacte
Quina part de la tríada CIA es trenca?
Ex: Robatori de dades = Impacte Alt en
Confidencialitat.
Probabilitat
Com de fàcil és explotar l'error?
Ex: Una injecció SQL en un formulari públic =
Probabilitat Alta.
4.2 Eines de Modelat d'Amenaces
Microsoft Threat Modeling Tool
Per dibuixar el flux de dades i trobar amenaces en el disseny de l'aplicació de forma visual.
OWASP Risk Assessment Framework
Per calcular el nivell de risc de forma estandarditzada i comparable entre projectes.
El Post-Llançament: Manteniment Segur
Un cop l'aplicació està en producció, la seguretat continua sent necessària:
Bug Bounty
L'empresa convida a hackers ètics externs a trobar errors a canvi d'una recompensa econòmica. Ajuda a trobar fallades que l'auditoria inicial podria haver passat per alt.
Resposta a Incidents
Protocol d'acció quan es detecta un atac: tancar el servei, avisar a l'autoritat de protecció de dades i analitzar els logs.