Seguridad Informática Web: Fundamentos y Prácticas para Ingeniería de Sistemas

1. Introducción a las Herramientas de Escaneo y Pruebas de Penetración Web

• Conceptos básicos de escaneo de vulnerabilidades y pruebas de penetración.
• Tipos de vulnerabilidades comunes en aplicaciones web.
• Importancia de la evaluación continua y ética en pruebas de seguridad.

2. Herramientas de Escaneo de Vulnerabilidades Web

• Características y funcionalidades principales de herramientas automáticas.
• Ejemplos y uso práctico de herramientas como OWASP ZAP, Nikto, Burp Suite, Nessus.
• Configuración básica y generación de reportes.

3. Técnicas de Pruebas de Penetración en Aplicaciones Web

• Metodologías para pruebas manuales y automatizadas.
• Identificación y explotación de vulnerabilidades como inyección SQL, XSS, CSRF, autenticación débil.
• Uso avanzado de Burp Suite para análisis de tráfico y manipulación de peticiones.

4. Análisis e Interpretación de Resultados de Escaneos y Pentesting

• Clasificación y priorización de vulnerabilidades detectadas.
• Determinación de riesgos y vectores de ataque potenciales.
• Elaboración de informes técnicos claros y precisos para distintos públicos.

5. Implementación de Controles de Seguridad en Aplicaciones Web

• Autenticación: mecanismos, mejores prácticas y estándares (OAuth, OpenID Connect, JWT).
• Autorización: modelos y controles de acceso (RBAC, ABAC).
• Cifrado: protocolos y técnicas para proteger datos en tránsito y en reposo (TLS, AES, RSA).
• Integración de controles en el ciclo de desarrollo seguro.

6. Estrategias de Defensa y Mitigación de Ataques Web Comunes

• Diseño de estrategias de defensa en profundidad.
• Uso de firewalls de aplicaciones web (WAF) y sistemas de detección de intrusiones (IDS/IPS).
• Aplicación de políticas de seguridad y monitoreo continuo.

7. Documentación y Justificación de Procedimientos de Evaluación y Defensa

• Estructura y contenidos de la documentación técnica para auditorías y cumplimiento.
• Justificación de selección de herramientas y controles implementados.
• Buenas prácticas para mantener y actualizar la documentación.

Actividad 1: Escaneo y Detección de Vulnerabilidades en una Aplicación Web

Objetivo: Identificar y utilizar herramientas de escaneo para evaluar vulnerabilidades en una aplicación web específica.

Descripción:

• Se proporcionará una aplicación web vulnerable en un entorno controlado.
• Los estudiantes configurarán y ejecutarán herramientas como OWASP ZAP o Nikto para escanear la aplicación.
• Recopilarán y organizarán los resultados en un reporte preliminar.

Organización: Grupos de 3 estudiantes.

Producto esperado: Reporte de vulnerabilidades encontradas con evidencia de escaneo.

Duración estimada: 3 horas.

Actividad 2: Análisis y Priorización de Vulnerabilidades

Objetivo: Analizar los resultados obtenidos para determinar riesgos y vectores de ataque.

Descripción:

• Cada grupo analizará el reporte generado en la actividad anterior.
• Clasificarán las vulnerabilidades de acuerdo a su severidad y probabilidad de explotación.
• Elaborarán un plan de mitigación con priorización basada en riesgos.

Organización: Grupos de 3 estudiantes.

Producto esperado: Documento con análisis de riesgos y plan de mitigación.

Duración estimada: 2 horas.

Actividad 3: Implementación Práctica de Controles de Seguridad

Objetivo: Implementar controles de autenticación, autorización y cifrado en una aplicación web.

Descripción:

• Se entregará un módulo básico de aplicación web sin controles de seguridad implementados.
• Los estudiantes integrarán mecanismos de autenticación segura (por ejemplo, OAuth o JWT), definirán roles y permisos para autorización y configurarán cifrado para las comunicaciones y datos sensibles.
• Se probará el correcto funcionamiento y protección de los controles implementados.

Organización: Individual o parejas.

Producto esperado: Aplicación con controles de seguridad implementados y evidencias de pruebas funcionales.

Duración estimada: 4 horas.

Actividad 4: Diseño de Estrategias de Defensa y Documentación

Objetivo: Diseñar estrategias de defensa y documentar procedimientos justificando la selección de herramientas y controles.

Descripción:

• Basándose en los resultados de las actividades previas, los estudiantes diseñarán una estrategia integral de defensa para una aplicación web.
• Incluirán recomendaciones de uso de WAF, IDS/IPS, políticas de monitoreo y actualizaciones.
• Prepararán un documento formal que contenga la justificación de las herramientas y controles implementados, y procedimientos para evaluación y defensa continua.

Organización: Grupos de 3 estudiantes.

Producto esperado: Documento de estrategia de defensa con justificación técnica y plan de acción.

Duración estimada: 3 horas.

Evaluación Diagnóstica

Qué se evalúa: Conocimientos previos sobre herramientas de escaneo, pruebas de penetración, y controles de seguridad web.

Cómo se evalúa: Cuestionario de opción múltiple y preguntas abiertas sobre conceptos básicos.

Instrumento sugerido: Test digital en plataforma educativa o examen corto presencial.

Evaluación Formativa

Qué se evalúa: Progreso en la aplicación práctica de herramientas, análisis de resultados, implementación de controles y documentación.

Cómo se evalúa: Revisión continua de actividades prácticas, retroalimentación en reportes y productos intermedios.

Instrumento sugerido: Rúbricas para actividades de escaneo, análisis, implementación y documentación; observación directa y foros de discusión.

Evaluación Sumativa

Qué se evalúa: Competencia integral para identificar, analizar, implementar, defender y documentar controles de seguridad web.

Cómo se evalúa: Evaluación final basada en la entrega y defensa del proyecto integrador que incluya escaneo, análisis, implementación de controles, estrategia de defensa y documentación completa.

Instrumento sugerido: Proyecto final evaluado con rúbrica detallada que valore precisión técnica, profundidad del análisis, calidad de la implementación, coherencia de la estrategia de defensa y claridad en la documentación.

La unidad está diseñada para ser impartida en 3 semanas con una dedicación total de aproximadamente 12 horas distribuidas de la siguiente manera: 4 horas para la introducción y actividades de escaneo y pruebas de penetración, 3 horas para análisis de resultados y priorización, 4 horas para la implementación práctica de controles de seguridad, y 1 hora para el diseño de estrategias de defensa y documentación. Se recomienda combinar sesiones teóricas con talleres prácticos para maximizar el aprendizaje aplicado.

1. Introducción a Normativas y Estándares en Seguridad Web

• Concepto y relevancia de las normativas y estándares en seguridad informática web.
• Impacto de la regulación en el desarrollo y operación de aplicaciones web.
• Panorama general de las normativas internacionales y locales aplicables.

2. Principales Estándares y Normativas Internacionales

• ISO/IEC 27001 y 27002: Fundamentos y aplicación en seguridad de la información.
• OWASP Top Ten: Principales vulnerabilidades en aplicaciones web y recomendaciones.
• PCI DSS: Normativa para la protección de datos de tarjetas de pago en entornos web.
• GDPR: Regulación europea sobre protección de datos personales y su impacto en aplicaciones web.
• NIST Cybersecurity Framework: Guías y controles para la gestión de la ciberseguridad.

3. Políticas de Seguridad Web: Diseño y Aplicación

• Definición, objetivos y alcance de una política de seguridad web.
• Elementos clave para la elaboración de políticas efectivas.
• Alineación con normativas y estándares vigentes.
• Adaptación de políticas a diferentes contextos organizacionales y tecnológicas.
• Comunicación y capacitación para la implementación exitosa de políticas.

4. Gestión de Incidentes de Seguridad en Aplicaciones Web

• Concepto y tipos de incidentes de seguridad web.
• Procedimientos para la detección, análisis y respuesta ante incidentes.
• Herramientas y técnicas para la gestión de incidentes.
• Documentación y reporte de incidentes: formatos y mejores prácticas.
• Lecciones aprendidas y mejora continua post-incidente.

5. Auditorías de Seguridad en Entornos Web

• Objetivos y tipos de auditorías de seguridad web.
• Metodologías y estándares para auditorías (por ejemplo, COBIT, ISO/IEC 27007).
• Planificación y ejecución de auditorías en aplicaciones web.
• Evaluación de controles de seguridad y detección de vulnerabilidades.
• Elaboración de informes de auditoría: estructura y elementos clave.

6. Controles de Seguridad para Mitigación de Riesgos en Aplicaciones Web

• Clasificación de controles: preventivos, detectivos y correctivos.
• Controles técnicos: autenticación, autorización, cifrado, protección contra ataques comunes.
• Controles administrativos: políticas, capacitación y gestión de accesos.
• Controles físicos y ambientales relevantes para seguridad web.
• Evaluación y recomendación de controles basados en análisis de riesgos y cumplimiento normativo.

Actividad 1: Análisis Comparativo de Estándares y Normativas

Objetivo: Identificar y analizar los principales estándares internacionales y normativas aplicables a la seguridad de aplicaciones web.

Descripción:

• Se divide a los estudiantes en grupos de 3 o 4.
• Cada grupo selecciona dos normativas o estándares (por ejemplo, OWASP Top Ten y GDPR).
• Investigan el contenido, objetivos y aplicación práctica de cada estándar.
• Elaboran un cuadro comparativo que destaque similitudes, diferencias y relevancia en distintos contextos.
• Presentan sus resultados en una exposición breve y discuten casos reales donde se aplican.

Organización: Grupos

Producto esperado: Cuadro comparativo y presentación grupal

Duración estimada: 2 horas

Actividad 2: Diseño de una Política de Seguridad Web

Objetivo: Diseñar políticas de seguridad web alineadas con las mejores prácticas y normativas vigentes.

Descripción:

• Individualmente o en parejas, los estudiantes eligen un escenario (por ejemplo, una tienda en línea o una plataforma educativa).
• Elaboran una política de seguridad web que incluya objetivos, alcance, roles y responsabilidades, controles y procedimientos de cumplimiento.
• La política debe incluir referencias a normativas y estándares relevantes.
• Se realiza una sesión de retroalimentación en clase para revisión y mejora del documento.

Organización: Individual o parejas

Producto esperado: Documento de política de seguridad web

Duración estimada: 3 horas

Actividad 3: Simulación de Gestión de Incidentes de Seguridad

Objetivo: Aplicar procedimientos de gestión de incidentes y auditorías de seguridad en entornos web.

Descripción:

• Se presenta un escenario simulado de incidente de seguridad (por ejemplo, un ataque de inyección SQL detectado en una aplicación web).
• En grupos, los estudiantes deben definir y ejecutar el plan de respuesta: detección, análisis, contención, erradicación y recuperación.
• Documentan el incidente y elaboran un reporte que incluya hallazgos y recomendaciones.
• Se realiza discusión grupal para evaluar la efectividad de la respuesta y las lecciones aprendidas.

Organización: Grupos

Producto esperado: Reporte de incidente con análisis y recomendaciones

Duración estimada: 2.5 horas

Actividad 4: Evaluación y Recomendación de Controles de Seguridad

Objetivo: Evaluar y recomendar controles de seguridad basados en políticas y estándares reconocidos para mitigar riesgos en aplicaciones web.

Descripción:

• En parejas, se les proporciona un caso de estudio con una aplicación web vulnerable y sin políticas claras.
• Analizan los riesgos presentes en la aplicación y revisan las políticas y estándares aplicables.
• Proponen un conjunto de controles técnicos, administrativos y físicos para mitigar los riesgos identificados.
• Presentan un informe con justificación basada en normativas y mejores prácticas.

Organización: Parejas

Producto esperado: Informe de evaluación y recomendaciones

Duración estimada: 2 horas

Evaluación Diagnóstica

Qué se evalúa: Conocimientos previos sobre normativas, estándares y políticas de seguridad web.

Cómo se evalúa: Cuestionario tipo test con preguntas de opción múltiple y respuesta corta sobre conceptos básicos.

Instrumento sugerido: Prueba escrita digital o impresa al inicio de la unidad.

Evaluación Formativa

Qué se evalúa: Progreso en el análisis, diseño y aplicación de políticas, gestión de incidentes y recomendaciones de controles.

Cómo se evalúa: Revisión continua de actividades, participación en discusiones, retroalimentación de productos parciales (cuadros comparativos, borradores de políticas, reportes de incidentes).

Instrumento sugerido: Rúbricas de evaluación para cada actividad y observación directa del docente.

Evaluación Sumativa

Qué se evalúa: Competencia integral para identificar normativas, diseñar políticas, gestionar incidentes y recomendar controles de seguridad.

Cómo se evalúa: Examen escrito teórico-práctico y entrega de un proyecto final que incluya el diseño de una política, simulación de gestión de incidente y propuesta de controles.

Instrumento sugerido: Examen con preguntas de desarrollo y proyecto integrador con rúbrica detallada.

La unidad tiene una duración sugerida de 3 semanas, distribuidas de la siguiente manera:

• Semana 1 (6 horas): Introducción a normativas y análisis de estándares internacionales. Desarrollo de la Actividad 1.
• Semana 2 (6 horas): Diseño de políticas de seguridad y gestión de incidentes. Desarrollo de las Actividades 2 y 3.
• Semana 3 (5 horas): Auditorías, evaluación y recomendación de controles. Desarrollo de la Actividad 4, evaluación formativa y sumativa.

Se recomienda combinar sesiones teóricas con prácticas para reforzar el aprendizaje activo y la aplicación real de los conceptos.