2.7.3 IAS/Programación Defensiva (2 horas Core-Tier1)

Temas en la programación defensiva en general no se piensa en el aislamiento, pero aplicados a otros temas en particular en SDF, SE y PD Áreas de Conocimiento.
Temas:
Core Tier1

• Validación de datos de entrada y sanitización
• Elección del lenguaje de programación y lenguajes con tipos de datos seguro.
• Ejemplos de validación de entrada de datos y sanitización de errores.
  1. Desbordamiento de búfer
  2. Errores enteros
  3. Inyección SQL
  4. Vulnerabilidad XSS
• Las condiciones de carrera.
• Manejo correcto de las excepciones y comportamientos inesperados.

Core Tier2

• Uso correcto de los componentes de terceros.
• Desplegar eficazmente las actualizaciones de seguridad.

Electivo

• Información de control de flujo.
• Generando correctamente el azar con fines de seguridad.
• Mecanismos para la detección y mitigación de datos de entrada y errores de sanitización.
• Fuzzing
• El análisis estático y análisis dinámico.
• Programa de verificación.
• Soporte del sistema operativo (por ejemplo, la asignación al azar del espacio de direcciones, canarios)
• El soporte de hardware (por ejemplo, el DEP, TPM)

Objetivos de Aprendizaje (Learning Outcomes):
Core-Tier1:

1. Explicar por que la validación de entrada y desinfección de datos es necesario en el frente del control contencioso del canal de entrada [Familiarizarse]
2. Explicar por que uno deberia escoger para desallorrar un programa en un lenguaje tipo seguro como Java, en contraste con un lenguaje de programación no seguro como C/C++ [Familiarizarse]
3. Clasificar los errores de validación de entrada común, y escribir correctamente el código de validación de entrada [Usar]
4. Demostrar el uso de un lenguaje de programación de alto nivel cómo prevenir una condición de competencia que ocurran y cómo manejar una excepción [Usar]
5. Demostrar la identificación y el manejo elegante de las condiciones de error [Usar]

Core-Tier2:

1. Explique los riesgos de mal uso de las interfaces con código de terceros y cómo utilizar correctamente el código de terceros [Familiarizarse]
2. Discutir la necesidad de actualizar el software para corregir las vulnerabilidades de seguridad y la gestión del ciclo de vida de la corrección [Familiarizarse]

Elective:

1. Listar ejemplos de flujos de información directa e indirecta [Familiarizarse]
2. Explicar la función de números aleatorios en la seguridad, más allá de la criptografía (por ejemplo, la generación de contraseñas, algoritmos aleatorios para evitar la negación algorítmica de los ataques del servicio) [Familiarizarse]
3. Explicar los diferentes tipos de mecanismos para detectar y mitigar los errores de desinfección de datos [Familiarizarse]
4. Demostrar cómo se prueban los programas para el manejo de errores de entrada [Usar]
5. Usar herramientas estáticas y dinámicas para identificar errores de programación [Usar]
6. Describir cómo se utiliza la arquitectura de memoria para proteger de ataques en tiempo de ejecución [Familiarizarse]