Please enable JavaScript.

Coggle requires JavaScript to display documents.

Devsecops - Coggle Diagram

- - - - Cuál es el objetivo?, Cómo lo pruebas?, ejemplos de métricas: Mean time to patch, mean time to discovery y mean time to resolution
  - - - Hardening Endurecimiento
        Equipos Ops y Sec deben trabajar con Devs para producir un conjunto de "golden images" que los Devs puedan usar automáticamente y desplegar con el mínimo escrutinio adicional
      - Patching
        DevOps provee la oportunidad para dejar las viejas practicas por permitir golden images para ser actualizadas e insertadas en el pipeline CI/CD de modo de automatizar y rápidamente desplegar el ambiente actualizado
      - Pre-baked tools Cuando sea posible las herramientas de seguridad deben ser instaladas en las golden images para que los devs operen con esas herramientas
  - - - Identity El nombre único de una persona, dispositivo o la combinación de ambos, que es reconocido por un sistema digital, también referido como una cuenta o un usuario que representa a la persona electrónicamente
      - Federated Identity Id Federada
        Una identidad central usada para acceder a un amplio rango de apps, sistemas y servicios pero con un particular especial inclinación hacia apps web. Tambien a menudo referenciado como Idenditdad como Servicio IDaaS
      - IDaaS Identidad as a Service
      - Access Management Conceder acceso a un recurso para una identidad autorizada (ej datos, servicio, ambiente) basado sobre un criterio definido (ej mapa de roles) mientras se previene un acceso a identidad no autorizada para un recurso
      - Autenticación El proceso de verificar una identidad declarada 2FA vs 2step (Multifactor y ManyFactor)
      - Autorización El proceso de asignar roles a los usuarios para tener acceso a los recursos, Roles y RBAC
      - Directories, Federation and IDaaS Sistemas Central IAM ayuda a reducir la complejidad y sobrecarga oepracional
    - - Siempre tener un respaldo de acceso root/admin
      - Asegurar que todos los accesos estén siendo logeados y monitoreados
      - Todos los cambios deben ser registrados contra registros de usuario y cambios (trazabilidad, descubrimiento, responsabilidad
    - - Flujo de proceso
        solo los aprobadores deben requerir intervención humana
        Buscar oportunidades de preaprobaciones (politicas como código)
        Forzar la definición de procesos repetibles
      - Creación de una cuenta
      - Mapeo de roles/asingaciones usuarios
    - - Custodiar credenciales de cuenta maestra
      - Obligar MFA, especialmente en cuentas privilegiadas
      - Considerar una cuenta de emergencia sin MFA, desde un host base
      - Prueba antes de producción
      - No dejar en duro comparitido o claves sin cambio
  - - - SAST
      - DAST
      - Software Composition Analysis (SCA)
        
        Una forma de chequeo de vulnerabilidades del software
        -Bajar el nivel de falsos positivo
        -Limitados a males conocidos, por lo que no es exhaustiva
        -OWASP top10 "usando componentes con vuln conocidas"
        
        Mirar por librerias, funciones o config malas conocidas
        
        Buenas herramientas libres (OWASP dependency-check, docker security scanner)
      - Pentesting Un ataque simulado autorizado sobre un sistema computacional que muestra puntos débiles de seguridad, pudiendo acceder a datos y funciones del sistema
      - Fuzzing Inyección de datos erroneos y maliciosos monitoreando el comportamiento del sistema, de modo de detectar posibles vulnerabilidades
    - - Herramientas y pruebas
        IDE lints checks
        SAST y DAST
        Software Composition Analysis (SCA)
        Pentesting y Fuzzing
        Escaneos de vulnerabilidad
      - Educación y sensibilización
      - Threat modeling
      - Usar listas blancas
    - - Las herramientas automatizadas son la única manera de hacer cambios a las carga de trabajo en producción.
        
        Deshabilitar la gestión via shell o escritorio remoto, para forzar el acceso solo por apis y scripts
        
        Adoptar una mentalidad de infraestructura inmutable y automatiza todos los cambios al ambiente usando flujos devsecops style. Las cargas antiguals deben ser reemplazadas con imagenes nuevas de forma automatizada y sistemática
        
        Solicitar sistemas de gestión de acceso privilegiado para gestionar las credenciales de acceso en los raros casos que se requiera acceso administrativo
  - - - Higiene de seguridad básica un conjunto de practicas de seguridad mínimas que deben ser aplicadas para todos los ambientes sin excepción
      - Cooperación > Competición reforzar la importancia de la transformación cultural contra la competición interna por cooperación por recursos a través de la organización
      - Gestión de vulnerabilidades y parches El proceso de identificación y remediación de vulnerabilidades resulta en la identificación e implementación de parches de software
      - Gestión de operaciones Asegurar que las practicas de seguridad de infraestructura clave tales como seguridad de redes, OS, hardening (refuerzo de practicas seguras), backups logging y monitoreo y IAM son institucionalizados dentro del equipo de operaciones
      - Pre-secured environments Colocar practicas seguras tan pronto como sea posible en el proceso
    - - Backup, replicación y redundancia
      - Desenmascarar datos sensibles solo en áreas seguras
      - Monitorear el tamaño y la utilización
      - Seguridad de red básica (firewall, ids/ips, acceso remoto)
      - Imagenes pre-reforzadas en ambientes de operaciones
        precocinar herramientas en golden images
        Minimizar las configuraciones en tiempo de despliegue
        Construir estándares y templates
        Minimamente, preproducción debe ser construida como producción
        AUTOMATIZA
  - - - Log Management Las politicas y procesos colectivos usados para administrar y facilitar la generación, transmisión, analisis, almacenamiento, archivado y disposicion final de una gran volumen de registros de datos creados con un sistema de información
      - Respuesta de incidentes Un enfoque organizado para direccionar y administrar las secuelas de una brecha de seguridad o ataque (conocido como incidente). El objetivo es manejar la situación que una forma que se limite el daño y se reduzcan los costos y tiempo de recuperación
      - Inteligencia de amenazas Información perteneciente a la naturaleza de una amenaza o las acciones que esta puede provocar al ser perpetrado, puede incluir indicadores de compromiso relacionadados a las acciones de la amenaza
    - - Repositorio central
      - Consultas/reportes/alertas
      - oportunidades de automatización
- - - - Diseño Seguro
        Understanding segure activity within an architecture
  - - - STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of service, Elevation of privilege)
      - Attack Trees
      - Threat Libraries (CAPEC, ATT&CK, OWASP top10, SANS top25)
      - Checklist (Owasp asvs, OWASP Proactive Controls)
      - Card games (OWASP Cornucopia, Elevation of Privilege)
      - Use Cases/Misuse Case
      - Funcional
        
        Validación de entrada y datos
        
        Autenticación
        
        Autorización
        
        Gestión de configuración
        
        Clasificación de datos (público, propietario, confidencial
        
        Gestión de sesiones
        
        Criptografía
        
        Manipulación de parámetros
        
        Gestión de excepciones
        
        Auditoría, logging y monitoreo
      - Responder preguntas
        
        Who’s interested in app and data (threat agents)?
        
        What goals (assets)?
        
        What attack methods (how)?
        
        Any attack surfaces (trust boundaries) exposed?
        
        Any input/output (data flows) missing?
    - - FAIR Factor Analisys of Identificación Risk
      - Risk rating (alto, medio, bajo)
        Evaluar según facilidad de explotación o impacto del negocio
      - Opciones de mitigación
        
        Dejar como está
        
        Remover del producto
        
        Remediar con tecnología de contramedidas
        
        Advertir al usuario
      - Cual es el riesgo asociado con la vulnerabilidad y amenaza identificada?
      - :fountain_pen: Indicar
        Escenario
        Sistema
        Principios de seguridad
        Preguntas para identificar amenazas
        Posibles controles/ mitigaciones
        Risk Rating (calificación riesgo)
    - - Documentar conclusiones y decisiones
      - Errores de archivos o nuevos requerimientos
      - Verificar corrección errores /nuevos requerimientos implementados
      - Se me pasó algo?/algo nuevo? revisar nuevamente