Servicios y Seguridad, un enfoque basado en estrategias de ataque y defensa

Marcela Castro-León
2015 Enseñanza y Aprendizaje de Ingeniería de Computadores  
Resumen. En este artículo se presenta el enfoque metodológico de la asignatura Servicios y Seguridad del Grado de Informática y Servicios, título oficial de la Universidad Autónoma de Barcelona que se imparte en la Escuela Universitaria de Informática Tomás Cerdá. Proponemos un enfoque basado en estrategias de ataque y defensa utilizadas en sistemas informáticos. Los modelos de estrategia constituyen el hilo conductor que permite relacionar cómo contribuyen el resto de temas, como criptografía,
more » ... estándares de seguridad, metodologías de modelado de amenazas y de evaluación de riesgos en la configuración de un sistema de servicios web seguro. La parte práctica incluye sesiones de laboratorio y el desarrollo de un trabajo de hacking. En el laboratorio los alumnos aprenden a configurar la seguridad de un servidor de aplicaciones web, a generar certificados de servidor y de clientes, y a incluir opciones de seguridad en aplicaciones y en servicios web. Realizando el trabajo práctico los alumnos aprenden a defender mejor al sistema a través del conocimiento de las técnicas y herramientas que utilizan los atacantes para descubrir y explotar las vulnerabilidades de las infraestructuras y aplicaciones. Palabras Clave: Servicios web, Seguridad de servicios, Estándares de seguridad de servicios web, WS-Security, XML-Security, Threat-Modeling. Abstract. This article describes the methodological approach of the subject Services and Security of the Bachelor's Degree in Information Technology and Services (Universitat Autonoma de Barcelona), which is taught at the Tomas Cerda Computer Science School. We propose an approach based on attack and defense strategies which are used in computer systems. Strategy models are the thread that relates how the rest of the topics as cryptography, security standards, threat modeling and risk assessment methodologies contribute in setting up a secure web service based system. The practical part includes laboratory sessions and development of a work of hacking. In the laboratory students learn to set up a web server application, to generate server and client's certificates, and to include security options into applications and web services. By doing the practical work students learn how to defend the system in a better way through the knowledge of the techniques and tools used by hackers to discover and exploit vulnerabilities of infrastructure and applications.
doi:10.30827/digibug.36568 fatcat:d5odvgwf3bddzlcm2wkcztqgg4