LecturaBienvenida al curso
Bienvenido a Seguridad web con OWASP Top 10. Esta es la respuesta que devuelve el inicio de sesión de Mercado Tico S.A., la tienda ficticia que lo acompaña todo el curso:
HTTP/1.1 302 Found
Location: /mi-cuenta
Set-Cookie: sesion=f02b6d18c4a97e35; Path=/Esa cookie es la sesión: quien la tenga entra a la cuenta sin contraseña. Le falta HttpOnly, así que un script inyectado la puede leer, y le falta Secure, así que viajaría también por HTTP sin cifrar. En una revisión real, eso ya es un hallazgo. Abra F12 en un sitio donde tenga cuenta, pestaña Red, recargue y busque Set-Cookie. Al terminar el módulo 1 va a entender todo lo que ve ahí.
Qué va a lograr
- Explicar qué es la seguridad web y leer una petición y una respuesta HTTP con sus métodos, códigos de estado, cookies y cabeceras.
- Usar las herramientas de desarrollador del navegador y
curlpara observar el tráfico de un sitio. - Reconocer y clasificar las diez categorías del OWASP Top 10 2021 y proponer cómo se previene cada una.
- Practicar de forma legal en OWASP Juice Shop, en su propio equipo, o en PortSwigger Web Security Academy.
- Configurar y auditar cabeceras de seguridad como HSTS y CSP.
- Redactar un informe de vulnerabilidad responsable.
Para quién es y qué necesita
Es la puerta de entrada de la serie OWASP, para quien empieza en ciberseguridad o en desarrollo web. No hace falta programar, pero sí tener claro qué son una IP y un puerto; si no, haga antes Redes para ciberseguridad. Si nunca ha visto HTML, ayuda Desarrollo web básico: HTML, CSS y JavaScript.
Necesita un navegador actual y, para el módulo 4, Docker para correr Juice Shop. Si no puede instalarlo, una cuenta gratuita en PortSwigger Web Security Academy cubre los mismos retos.
Cómo está organizado
| Módulo | Qué aprende | Laboratorio |
|---|---|---|
| 1. Cómo funciona la web | Qué es la seguridad web, URL, HTTP, curl, cookies, sesiones y herramientas de desarrollador | Inspeccionar peticiones reales en example.com |
| 2. OWASP Top 10, parte 1 | Qué es OWASP, A01 Control de acceso roto, A02 Fallas criptográficas y A03 Inyección | Clasificar cuatro hallazgos de una tienda ficticia |
| 3. OWASP Top 10, parte 2 | Del A04 Diseño inseguro al A10 SSRF, con pip-audit para dependencias | Auditoría de seis artefactos de la tienda ficticia |
| 4. Laboratorio legal y defensa | Autorización, Juice Shop con docker run, cabeceras de seguridad con Nginx y la conclusión | Retos en Juice Shop, auditoría de cabeceras e informe responsable |
| Evaluación | 6 preguntas sobre todo el curso | Aprueba con 70 % |
Cómo aprovecharlo
Los módulos 2 y 3 meten diez categorías en seis lecciones; lo que las fija son los laboratorios de clasificación. El de seis artefactos es el que más cuesta, porque uno cae en dos categorías a la vez. Arme su tabla antes de abrir la solución, aunque se equivoque.
Deje Docker instalado y la imagen de Juice Shop descargada antes del módulo 4; la descarga tarda. Y anote cada hallazgo con su corrección desde el primer día: en el último laboratorio esas notas se convierten en el informe responsable. La evaluación final tiene 6 preguntas; con 70 % recibe el certificado y la insignia.
Tiempo estimado
Unas 5 horas. Los cinco laboratorios suman casi dos; haga cada uno en una sola sesión.