Juan Jose Romero Aliaga

Maestría en
Seguridad Informática
Modelo de Seguridad en aplicaciones web basado en
PHP y MySQL
1 3
Problema a resolver
Aplicaciones web vulnerables
por errores de codificación.
2 4
Solución
Proponer un modelo de
seguridad en las aplicaciones
Web; también mostrar los
ataques más comunes y la
manera como confrontarlos y
solucionarlos.
Objetivo General
Disminuir los riesgos que se
presentan en una aplicación
Web, mediante la
construcción de un Modelo de
Seguridad para el desarrollo
de una Web basado en PHP y
MySQL
Específicos
Identifica técnicas y formas de
ataque .
Herramientas de software
existentes, empleadas en
Seguridad.
Probar el modelo de Seguridad
a través de un entorno Web.
5
Alcance del Proyecto
La trascendencia de este modelo
radica en permitir concienciar a
los profesionales de la
información, específicamente a los
programadores, sobre la
importancia de realizar la buenas
practicas de programación segura.
6
Justificación y aporte
No se puede construir una
aplicación Web segura sin haber
realizado pruebas de seguridad en
”
ella.
Con este modelo nos permitirá
disminuir las vulnerabilidades por
errores de programación
3
Marco Teórico
 ORGANIZACION A LA SEGURIDAD DE LA INFORMACION
 OWASP creó una lista de las 10 vulnerabilidades más comunes en las aplicaciones.

 WASC (Consorcio de seguridad en aplicaciones Web)

 CVE International (Vulnerabilidades y exposiciones comunes), se hace mención sobre estos

ataques y otros.

 COBIT (Objetivos de Control para Tecnología de Información y Tecnologías

relacionadas) .

 ITIL (Biblioteca de Infraestructura de Tecnologías de la Información), es un conjunto de

mejores prácticas para la dirección y gestión de servicios de tecnologías de la información en
lo referente a Personas, Procesos y Tecnología.

 Norma ISO 27001, comprende una metodología, reconocida internacionalmente, dedicada a

la seguridad de la información.
Metodología
 FASES METODOS RESULTADOS

Fundamentación Deducción Recopilar información relacionada con el

Teórica objeto de estudio

Diagnostico Analítico sintético Constancia del problema propuesto

Recolección de Información
Deductivo Presentación posible de solución

Propuesta Sistemático Elaboración de un modelo de Seguridad en

aplicaciones web basado en PHP y MySQL

Validación Criterio de Expertos Propuesta Validada

Nº PREGUNTAS Profesional Programador Docente Alumno Total

S N S N S N S N S N

¿Realiza eventos de programación para evitar

1
ataques de inyección? 4 1 5 20 3 7 1 19 13 47

¿Protege las credenciales de los usuarios?

2 5 0 10 15 4 6 5 15 24 36
3 ¿Toda entrada de datos de parte de usuario es
validada? 3 2 15 10 8 2 17 3 43 17
4 ¿Verifica que todas las referencias a objetos
tengan las protecciones apropiadas? 4 1 20 5 7 3 5 15 36 24
5 ¿Cuenta su aplicación con el apropiado
fortalecimiento en seguridad a través de todas
las capas que la componen? 5 0 23 2 8 2 7 13 43 17

6 ¿Realiza protección extra a los datos sensibles?

3 2 19 6 6 4 3 17 31 29
7 ¿Sus aplicaciones tienen un modulo de
autorización consistente y fácil de analizar,
invocado desde todas las funciones de
negocio? 5 0 24 2 8 2 8 12 45 15

8 ¿Previene la ausencia de un token

impredecible en cada enlace y formulario? 4 1 22 3 7 3 2 18 35 25
9 ¿Identifica todos los componentes y las
versiones que están ocupando, incluyendo
dependencias? 3 2 16 9 5 5 3 17 27 33

10 ¿Revisa el código para detectar el uso de

redirecciones o reenvíos? 5 0 23 2 8 2 12 8 48 12
1 2
Hipótesis
Methodology
El estudio que se va a realizar es de
El uso de un modelo de carácter descriptivo, ya que se busca
identificar todos los elementos y
seguridad de programación en el
características del problema de
desarrollo de aplicaciones WEB investigación, para que una vez
disminuye las vulnerabilidades comprobada la idea a defender, se
de estas. pueda llegar a un conocimiento de
tipo explicativo.

4
3
Técnicas de Recoleccion de Población/muestra
Datos

Se encuesto a 60 personas,
de las cuales son 5
Encuestas profesionales, 25
programadores, 10 docentes y
20 alumnos.

Productivity: State the project 12