○ ○ ● ● También define un lenguaje estándar para referenciar a estos ataques En en OWASP Top Ten hace referencia a un ataque automático específico que está relacionado con la categoría. OWASP Vulnerabilities ○ enumeración de vulnerabilidades específicas ○ En en OWASP Top Ten hace referencia a una vulnerabilidad relacionada con la categoría. Documentos externos ○ MITRE: CWE/CVE ○ NIST ASVS (Application Security Verification Standard) OWASP ASVS ofrece una lista completa de requisitos, controles y pruebas de seguridad de aplicaciones web que puede utilizar para determinar el alcance, crear y verificar aplicaciones web y móviles seguras. Permite a las organizaciones desarrollar y mantener aplicaciones más seguras; y también brinda a los proveedores de servicios de seguridad y proveedores un conjunto de controles bien documentados con el que pueden alinear sus requisitos y ofertas. Tiene como objetivo fijar un estándar para normalizar el nivel y el rigor con el que se hacen las verificaciones de seguridad sobre aplicaciones webs. Modo de uso ● La idea es que: ○ Se use como métrica para dar un valor de confianza a las aplicaciones ○ Se use como guía para los desarrolladores puedan construir controles de manera de satisfacer los requisitos de seguridad de la aplicación ○ Se use durante adquisiciones proveyendo una base para especificar requerimientos de seguridad en los contratos El estándar para la verificación de seguridad en aplicaciones define tres niveles de verificación para la seguridad, con cada nivel incrementando su profundidad. 1. ASVS Nivel 1 es para todo el software. 2. ASVS Nivel 2 es para las aplicaciones conteniendo datos sensibles, los cuales requieren protección. 3. ASVS Nivel 3 es para las aplicaciones más críticas, aplicaciones realizando transacciones de alto valor, conteniendo datos médicos sensibles, o cualquier aplicación el cual requiere un alto nivel de confianza. Cada nivel del ASVS contiene una lista de requerimientos para la seguridad. Cada uno de estos requerimientos puede también ser mapeado hacia características y capacidades específicas en seguridad, los cuales deben ser construidos en el software por los desarrolladores. WSTG (Web Security Testing Guide) La WSTG (Web Security Testing Guide) nace en el año 2013 como una guía complementaria al OWASP TOP 10. Este documento provee información más específica y técnica sobre los controles de seguridad que se deben contemplar a la hora de realizar pentesting en aplicaciones web. Además, a la WSTG se le suma un complemento llamado OWASP IF-2021-76718462-APN-DNCIB#JGM Página 30 de 35