“AUDITORÍA DE CÓDIGO DE UNA APLICACIÓN CON LA HERRAMIENTA DE HP FORTIFY”

[pic 1]

Maestría en Ingeniería de Software y Sistemas Informáticos

Seguridad en el Software

“AUDITORÍA DE CÓDIGO DE UNA APLICACIÓN CON LA

HERRAMIENTA DE HP FORTIFY”

Presentado por:

José Carlos Uchima Amézquita

Profesor

Rosa Barba Varela

LIMA – PERÚ

2020

Introducción

HP Fortify es la más completa solución de seguridad de aplicaciones. Cubre todos los aspectos tales como pruebas de seguridad de las aplicaciones, la gestión de la seguridad del software y la protección automática de las aplicaciones.

HP Fortify ofrece soluciones de seguridad de aplicaciones on-premesis y on-demand para cubrir todas las necesidades de seguridad de software, incluyendo la seguridad de Software, aplicaciones móviles y web.

Laboratorio #1

Auditar la aplicación ejemplo WEBGOAT de la herramienta HP Fortify.

Paso 01

Abrir la herramienta HP Fortify Audit Workbench y dar clic en la opción “Scan Java Project”

[pic 2]

Paso 02

Seleccionar la ruta donde se encuentra el Proyecto “WEBGOAT”

[pic 3]

Paso 03

Seleccionar la versión de Java 1.5 y dar clic en el botón “OK”

[pic 4]

Paso 04

Realizar la siguiente configuración para dar clic en el botón “SCAN”

[pic 5]

Paso 05

La herramienta comenzará a realizar el análisis de código.

[pic 6]

Resultado Obtenido

1. El Issues Panel nos mostro un total de 291 incidencias.

• 264 Incidencias críticas

• 27 Incidencias Altas

     Al hacer clic en cada una de las listas se nos muestra los problemas asociados a cada nivel de  prioridad.

• Command Injection [0/3]

• Dangerous File Inclusion [0/3].

• Password Management Hardcode Password [0/2]

• Pacth Manipulation [0/5]

• Privacy Violation [0/78]

• Race condition [0/1]

• SQL Injection [0/43]

• XPath Injection [0/1]

1. El Analysis Trace Panel nos muestra el flujo de datos de cada problema

2. El Auditing Issues Panel nos muestra la información adicional sobre el problema que seleccionemos en el Issue Panel

[pic 7]

...