Curso de DevSecOps y Seguridad de la Cadena de Suministro de SW

El pipeline como componente crítico de infraestructura.

Separación entre source, build, test, package, release y deployment.

Trust boundaries entre las diferentes etapas.

Diferencias entre pipeline de pull request y pipeline de rama protegida.

Separación de builds confiables y no confiables.

Ejecución de contribuciones externas sin acceso a secretos.

Identidades distintas según etapa y entorno.

Permisos mínimos del runner.

Runners efímeros frente a runners persistentes.

Aislamiento entre ejecuciones.

Separación de workloads de diferentes niveles de confianza.

Control de acceso a runners privilegiados.

Protección del plano de control de CI/CD.

Reducción de permisos de tokens automáticos.

Workload identity frente a credenciales persistentes.

Autorización diferenciada para development, staging y production.

Branch protection y reglas de integración.

Revisión obligatoria de cambios sensibles.

Ownership de archivos de pipeline.

Protección específica de configuraciones CI/CD.

Security Gates antes del merge.

Security Gates antes de generar una release.

Security Gates antes de promover un artefacto.

Criterios de bloqueo según severidad y explotabilidad.

Excepciones controladas y acceptance of risk.

Policy-as-Code.

Compliance-as-Code.

Auditoría de decisiones.

Concurrencia y protección frente a deployments incompatibles.

Reutilización del mismo artefacto entre entornos.

Prohibición de recompilar al promocionar una release.

Immutable infrastructure.

GitOps como modelo de reconciliación y control declarativo.

Diseño de un pipeline donde cada fase produzca evidencias verificables.

Seguridad del sistema de control de versiones.

Identidad fuerte para desarrolladores y administradores.

MFA y métodos resistentes al phishing.

Gestión de cuentas privilegiadas.

Principio de mínimo privilegio sobre repositorios.

Separación entre administración y desarrollo.

Branch protection.

Rulesets y políticas equivalentes.

Pull requests como control de cambio.

Required reviewers.

CODEOWNERS y ownership de componentes críticos.

Doble revisión para archivos especialmente sensibles.

Protección de workflows y scripts de CI/CD.

Protección de dependencias y manifests.

Control de cambios en Infrastructure as Code.

Protección de configuraciones de seguridad.

Restricción de pushes directos.

Commits y tags firmados.

Verificación de identidad del autor.

Protección de tags de release.

Prevención de sobrescritura de referencias.

Historial como evidencia de cambios.

Rebase, force-push y riesgos asociados.

Gestión de forks.

Contribuciones de terceros.

Revisión de cambios generados automáticamente.

Bots y service accounts.

Tokens de automatización.

Webhooks del repositorio.

Protección frente a manipulación de webhooks.

Auditoría del repositorio.

Detección de actividad anómala.

Backups y recuperación.

Preservación de evidencia ante compromiso.

Source provenance.

Relación entre la revisión del código y la confianza posterior en un artefacto (SLSA 1.2)

Objetivos de Static Application Security Testing.

Diferencias entre análisis sintáctico, semántico, data flow y taint analysis.

Identificación de sources, sinks y sanitizers.

Interprocedural analysis.

Detección de vulnerabilidades de inyección.

Problemas de autenticación y autorización detectables estáticamente.

Uso inseguro de criptografía.

Gestión incorrecta de errores.

Path traversal.

Deserialización insegura.

SSRF y patrones asociados.

Exposición de información sensible.

Uso de funciones peligrosas.

Reglas específicas por framework.

Análisis incremental en pull requests.

Full scanning periódico.

Baseline de vulnerabilidades existentes.

Diferenciación entre vulnerabilidad nueva y deuda heredada.

Gestión de falsos positivos.

Suppressions documentadas.

Expiración de excepciones.

Severidad frente a riesgo real.

Contextualización con reachability.

Security Gates basados en política.

Integración con code review.

SARIF como formato interoperable de resultados.

Centralización de findings.

Deduplicación entre herramientas.

IaC scanning.

Terraform security.

Helm y manifests Kubernetes.

Dockerfile linting y security scanning.

Configuraciones cloud.

Detección de permisos excesivos.

Configuraciones públicas accidentales.

Cifrado ausente.

Security groups y reglas de red.

Validación de políticas antes del despliegue.

Policy-as-Code como segunda capa frente al análisis estático.

Métricas de cobertura y eficacia de SAST.

Evolución del conjunto de reglas según incidentes y vulnerabilidades descubiertas.

Objetivos de Software Composition Analysis.

Dependencias directas.

Dependencias transitivas.

Árboles de dependencias.

Package manifests.

Lockfiles.

Resolución determinista de versiones.

Riesgos derivados de rangos de versiones excesivamente abiertos.

Pinning de versiones.

Pinning mediante hashes cuando el ecosistema lo permite.

Inventario de componentes open source.

CVE y otras fuentes de inteligencia de vulnerabilidades.

Relación entre vulnerabilidad publicada y componente realmente utilizado.

Reachability analysis.

Exploitability.

EPSS como indicador complementario de priorización.

CISA Known Exploited Vulnerabilities como referencia de explotación conocida.

Diferencia entre CVSS, explotabilidad, exposición e impacto empresarial.

Dependencias abandonadas.

Componentes sin mantenimiento.

Riesgo de maintainer takeover.

Typosquatting.

Dependency confusion.

Namespace confusion.

Paquetes comprometidos.

Install scripts y hooks.

Dependencias descargadas durante el build.

Proxy registries corporativos.

Allowlisting de registries.

Bloqueo de repositorios no autorizados.

Trusted publishing.

Verificación de checksums.

Firmas de paquetes cuando están disponibles.

Licencias open source.

Compatibilidad de licencias.

Dependencias prohibidas por política.

Renovación automática de dependencias.

Renovate, Dependabot y mecanismos equivalentes como patrones de actualización.

Validación de updates antes de integración.

Priorización de vulnerabilidades por contexto.

Gestión de excepciones.

SLA de remediación.

Continuous SCA durante todo el soporte del producto.

Objetivos de Dynamic Application Security Testing.

Diferencias fundamentales entre SAST y DAST.

Black-box testing.

Grey-box testing.

Aplicaciones desplegadas como objetivo del análisis.

Entornos efímeros por pull request.

Seguridad de los datos utilizados en entornos de prueba.

DAST autenticado.

Gestión segura de credenciales para scanners.

Crawling.

Descubrimiento de endpoints.

Pruebas sobre aplicaciones web.

API Security Testing.

Descubrimiento mediante OpenAPI.

Pruebas sobre APIs REST.

Pruebas sobre GraphQL.

Autenticación y gestión de sesiones.

Broken Object Level Authorization.

Broken Function Level Authorization.

Injection.

SSRF.

Security misconfiguration.

Rate limiting.

Mass assignment.

Input validation.

Detección de cabeceras y configuraciones inseguras.

Escaneos rápidos dentro del pipeline.

Análisis completos fuera del camino crítico.

IAST como combinación de ejecución y observabilidad interna.

Runtime instrumentation.

Diferencias entre DAST, IAST y RASP.

Gestión de resultados duplicados.

Correlación entre SAST y DAST.

False positives.

Flaky security tests.

Criterios de bloqueo.

Pruebas posteriores al deployment.

Validación en staging.

Validación continua en producción cuando el riesgo lo permite.

Evidencias de seguridad asociadas a una release.

Regresión de vulnerabilidades previamente corregidas.

Los secretos como objetivo de alto valor de la cadena de suministro.

Secret scanning en código fuente.

Detección pre-commit.

Detección durante pull requests.

Detección en historial Git.

Credenciales presentes en artefactos.

Secretos dentro de imágenes de contenedor.

Build arguments y riesgos de persistencia.

Variables de entorno.

Logs de pipeline.

Artifacts y caches.

Archivos temporales.

Eliminación de secretos estáticos del pipeline.

Secret managers.

HSM y KMS.

Rotación.

Revocación.

Expiración.

Credenciales de corta duración.

Workload identity.

OIDC federation.

Eliminación de access keys cloud permanentes.

Service accounts específicas por workload.

Scopes mínimos.

Separación por entorno.

Separación por repositorio y servicio.

Secrets de production inaccesibles desde pipelines no confiables.

Protección frente a pull requests procedentes de forks.

Approval gates antes de obtener credenciales sensibles.

Just-in-time credentials.

Dynamic secrets.

mTLS para identidad entre workloads.

Certificates lifecycle.

PKI interna.

Gestión de identidad de runners.

Rotación después de un incidente.

Honeytokens como control detectivo.

Respuesta ante secret leakage.

Invalidación inmediata como prioridad frente a eliminar únicamente el secreto del repositorio.

Auditoría de accesos.

Inventario de credenciales utilizadas por pipelines.

Reducción continua del número y duración de secretos existentes.

El build como frontera crítica de confianza.

Diferencia entre fuente revisada y artefacto realmente producido.

Manipulación del build environment.

Compromiso del runner.

Build scripts maliciosos.

Dependencias ejecutadas durante compilación.

Build isolation.

Runners efímeros.

Entornos limpios por cada ejecución.

Separación entre builds confiables y no confiables.

Network access durante el build.

Restricción de egress.

Dependencias preaprobadas.

Hermetic builds.

Reproducible builds.

Diferencias entre hermeticidad y reproducibilidad.

Determinismo.

Build cache y riesgos de cache poisoning.

Protección de caches compartidas.

Identificación de inputs del build.

Registro del commit fuente.

Registro del builder.

Registro de parámetros.

Registro de dependencias relevantes.

Provenance como evidencia verificable.

SLSA 1.2 Build Track.

Build L0 como ausencia de garantías.

Build L1 y generación de provenance.

Build L2 y plataforma de build alojada con provenance firmado.

Build L3 y hardening del entorno de construcción.

Source Track incorporado en SLSA 1.2.

Separación entre producer, build platform y consumer.

Attestations.

Verificación de provenance antes de consumir un artefacto.

Prevención de builds realizados desde una revisión inesperada.

Prevención de sustitución después del build.

Mapeo de amenazas y controles SLSA.

Definición del nivel objetivo según criticidad del producto.

Evidencia generada automáticamente por CI/CD.

Software Bill of Materials como inventario formal de componentes.

Diferencia entre listado de paquetes y SBOM.

Identificación del producto.

Componentes.

Versiones.

Relaciones.

Dependencias.

Identificadores de paquetes.

Package URL.

Hashes.

Licencias.

Supplier.

Author.

Provenance de los componentes.

Dependencias directas y transitivas.

Generación durante el proceso de build.

Diferencias entre SBOM source-based y build-based.

Diferencias entre SBOM de aplicación e imagen de contenedor.

Merge de múltiples SBOM.

SBOM de producto final.

Formatos machine-readable.

SPDX.

SPDX 3.0 como versión actual publicada.

SPDX como estándar internacional ISO/IEC 5962:2021.

CycloneDX.

CycloneDX 1.7 como versión actual.

Componentes, servicios y relaciones en CycloneDX.

Conversión y compatibilidad entre formatos.

Validación de SBOM.

Calidad y completitud del inventario.

Gestión de SBOM a escala empresarial.

Almacenamiento asociado a cada release.

Firma de la SBOM.

Relación de SBOM con vulnerability management.

Búsqueda retrospectiva de componentes afectados.

VEX como mecanismo para expresar estado de explotabilidad.

Diferencia entre vulnerable, affected y realmente explotable.

Reducción del ruido producido por vulnerabilidades no aplicables.

VEX ligado a contexto y versión.

SBOM como evidencia de supply chain.

Conservación histórica.

Acceso controlado.

Integración con asset inventory y CMDB.

Uso para incident response.

SBOM como requisito técnico directamente relevante para el Cyber Resilience Act.

Integridad frente a autenticidad.

Firma digital de artefactos.

Firmas de binaries.

Firmas de paquetes.

Firmas de imágenes OCI.

Identificación mediante digest.

Riesgos derivados del uso de tags mutables.

Referencias inmutables.

Gestión tradicional de claves.

HSM y KMS.

Protección de claves de firma.

Separación de identidad de build e identidad de release.

Rotación de claves.

Keyless signing.

Identidad OIDC como base de la firma.

Certificados de corta duración.

Sigstore como ecosistema para firma y verificación.

Cosign.

Fulcio.

Rekor.

Transparency logs.

Relación entre identidad, firma y transparencia.

Firma de imágenes.

Firma de blobs y archivos.

Firma de SBOM.

Attestations.

SLSA provenance como attestation.

Attestations personalizadas.

Verificación de identidad del firmante.

Verificación del issuer.

Verificación de signature.

Verificación de provenance.

Verificación de SBOM.

Validación del builder autorizado.

Policies de verificación.

Promotion gates.

Rechazo de artefactos sin firma.

Rechazo de artefactos generados por builders no confiables.

Registry como punto de distribución.

Protección de registries.

Retención y operaciones inmutables.

Admission control como último punto de verificación.

Separación entre producir evidencia y realmente verificarla.

Construcción de una chain of trust desde source hasta runtime.

Contenedor como unidad de distribución y ejecución.

Threat model específico de imágenes.

Imágenes base.

Procedencia de imágenes base.

Registries autorizados.

Pinning mediante digest.

Imágenes minimalistas.

Reducción de paquetes instalados.

Multi-stage builds.

Separación entre build image y runtime image.

Eliminación de herramientas de compilación del runtime.

Gestión de paquetes del sistema.

Vulnerabilidades del sistema operativo.

Dependencias de aplicación.

Secretos dentro de layers.

Historial de layers.

Build context.

`.dockerignore`.

Build arguments.

Configuración insegura.

Usuario root.

Ejecución como non-root.

Capabilities Linux.

Dropping de capabilities.

Read-only root filesystem.

Seccomp.

AppArmor.

SELinux.

Privileged containers.

Device access.

Mounts.

Host filesystem.

Docker socket.

Network exposure.

Health checks.

Resource limits.

Image scanning.

Scanning antes de publicar.

Scanning continuo en el registry.

Rescanning cuando aparecen nuevas vulnerabilidades.

SBOM por imagen.

Firma por digest.

Verificación antes de deployment.

Políticas de retención.

Imágenes obsoletas.

Imágenes huérfanas.

Registry permissions.

Separación entre repositorios de desarrollo y producción.

Promotion sin rebuild.

Runtime drift respecto a la imagen aprobada.

Superficie de ataque de un clúster Kubernetes.

Control plane.

API Server.

etcd.

Scheduler.

Controller Manager.

Kubelet.

Container runtime.

Workloads.

Authentication.

Authorization.

RBAC.

Principio de mínimo privilegio.

ClusterRole frente a Role.

RoleBindings.

Privilege escalation a través de permisos Kubernetes.

Service Accounts.

Service Account específica por workload.

Desactivación del token automático cuando no se necesita.

Workload identity.

Kubernetes Secrets y sus limitaciones.

Cifrado de Secrets at rest.

External secret managers.

Pod Security Standards.

Niveles privileged, baseline y restricted.

Pod Security Admission.

Modos enforce, audit y warn.

Security Context.

`runAsNonRoot`.

`allowPrivilegeEscalation`.

Linux capabilities.

Seccomp profiles.

Read-only filesystems.

Host namespaces.

HostPath.

Privileged pods.

Network Policies.

Segmentación east-west.

Control de egress.

Namespaces.

Multi-tenancy.

Resource requests y limits.

LimitRanges y quotas.

Denial of service entre workloads.

Admission controllers.

ValidatingAdmissionPolicy.

Policy-as-Code.

Reglas para imágenes autorizadas.

Verificación de firmas antes de admisión.

Verificación de provenance y attestations.

Bloqueo de imágenes ejecutadas por tag mutable.

Restricción de registries.

Escaneo de manifests.

Audit logs.

Protección de la API.

Hardening de nodos.

Patching.

Runtime detection.

Respuesta ante un workload comprometido.

Vulnerability management como proceso continuo posterior al release.

Diferencia entre scanning puntual y gestión de vulnerabilidades.

Inventario completo de productos y versiones.

Asociación entre producto, release y SBOM.

Detección de nuevas CVE después del despliegue.

Rescanning de artifacts almacenados.

Correlación con componentes afectados.

Reachability.

Exploitability.

Priorización basada en riesgo.

Vulnerabilidades activamente explotadas.

SLA de triage.

SLA de remediación.

Ownership.

Exceptions.

Compensating controls.

Backporting de security fixes.

Patch management.

Security updates.

Canales seguros de distribución.

Firma de actualizaciones.

Verificación por el consumidor.

Coordinated Vulnerability Disclosure.

Política pública de disclosure.

Canal para investigadores.

`security.txt`.

PSIRT.

Intake de vulnerabilidades.

Triage.

Severity.

Coordinación con dependencias upstream.

Vulnerabilidades de componentes open source.

Notificación responsable al mantenedor.

Runtime security.

Detección de procesos anómalos.

File integrity monitoring.

Container runtime events.

Network anomalies.

Kubernetes audit logs.

SIEM y centralización de eventos.

Correlación entre pipeline y runtime.

Identificación exacta del artifact desplegado.

Rollback.

Revocación de artefactos comprometidos.

Incident response sobre supply chain.

Preservación de evidencia.

Post-incident review.

Incorporación del incidente como nuevo control preventivo.

Actualización de policies, scanners y regression tests.

Gobierno técnico del Secure Software Development Lifecycle.

Ownership de controles.

Roles de desarrollo.

AppSec.

Platform Engineering.

DevSecOps.

Cloud Security.

PSIRT.

Product Security.

SOC e Incident Response.

GRC.

Separación de responsabilidades.

Secure development policies.

Security requirements por producto.

Threat modeling como evidencia.

Security architecture review.

Catálogo corporativo de Security Gates.

Criterios de bloqueo.

Risk acceptance.

Expiración de excepciones.

Métricas de seguridad del SDLC.

Mean Time to Remediate.

Vulnerabilidades introducidas por release.

Vulnerabilidades escapadas a producción.

Cobertura SAST.

Cobertura SCA.

Cobertura DAST.

Porcentaje de releases con SBOM.

Porcentaje de artifacts firmados.

Porcentaje de deployments que verifican firmas.

Cobertura de provenance.

Dependencias fuera de política.

Secret leaks.

Vulnerabilidades explotables fuera de SLA.

NIST SSDF: Prepare the Organization.

Protect the Software.

Produce Well-Secured Software.

Respond to Vulnerabilities.

Conversión de prácticas SSDF en controles del pipeline.

Cyber Resilience Act, Reglamento (UE) 2024/2847.

Concepto de producto con elementos digitales.

Determinación del papel del fabricante.

Security by design.

Security by default.

Evaluación de riesgos de ciberseguridad.

Requisitos esenciales del Anexo I.

Reducción de superficies de ataque.

Protección de confidencialidad, integridad y disponibilidad.

Gestión de vulnerabilidades durante el período de soporte.

Due diligence sobre componentes de terceros.

Open source incorporado al producto.

Inventario de componentes mediante SBOM.

Vulnerability handling.

Coordinated Vulnerability Disclosure.

Distribución segura de security updates.

Documentación técnica.

Evidencias de validación y testing.

Período de soporte.

Mínimo general de cinco años salvo productos cuya vida esperada sea inferior.

Disponibilidad de actualizaciones de seguridad durante los períodos exigidos.

Evaluación de conformidad.

Declaración UE de conformidad.

Marcado CE cuando resulte aplicable.

Obligaciones sobre vulnerabilidades explotadas activamente.

Obligaciones sobre incidentes graves.

Alerta temprana en 24 horas.

Notificación principal en 72 horas.

Informes finales según los plazos establecidos.

Plataforma Única de Notificación gestionada por ENISA.

Conservación de evidencias desde CI/CD para facilitar cumplimiento.

Mapeo CRA ↔ SSDF ↔ controles DevSecOps.

Diseño de un catálogo único de control, métrica, owner y evidencia.