El OWASP ASVS (Application Security Verification Standard) es una lista completa de requisitos de seguridad para aplicaciones web, usada por arquitectos, desarrolladores, testers y auditores.
| Nivel | Nombre | Dirigido a |
|---|---|---|
| Nivel 1 | Oportunista | Todo el software. Defiende contra vulnerabilidades fáciles de explotar (OWASP Top 10). Análisis rápido, poco esfuerzo. |
| Nivel 2 | Estándar | Aplicaciones con datos sensibles. Controles en lugar adecuado, efectivos y en uso. Defensas contra atacantes con herramientas y motivación específica. |
| Nivel 3 | Avanzado | Aplicaciones críticas: transacciones de alto valor, datos médicos, infraestructuras críticas. Análisis profundo de arquitectura, código y testing. |
La mejor manera de usar ASVS es como lista de verificación de seguridad en el ciclo de desarrollo:
El equipo rojo del campus utiliza ASVS como guía en sus tests de penetración a aplicaciones internas:
| Sección | Área | Objetivo |
|---|---|---|
| V1 | Arquitectura y Diseño | Componentes identificados, arquitectura definida y código coherente con ella. |
| V2 | Autenticación | Identidad digital verificada, credenciales transportadas de forma segura. |
| V3 | Gestión de Sesiones | Sesiones únicas por usuario, invalidadas cuando no se necesitan, con tiempo de inactividad limitado. |
| V4 | Control de Acceso | Usuarios con credenciales válidas, roles y privilegios bien definidos, metadatos protegidos. |