Tribuna Libre

[Anónimo]

En este foro podemos tratar temas que no esten contemplado en los demás foros.

[Anónimo]

A continuación copio la entrada de @Jose Carlo

“Me gustaria aprovechar este foro para ver que software me aconsejan para empeza a programar, yo soy electrónico, en la universidad lleve delphi y pascal. Mi interes es aprender un lenguaje que pueda crear paginas web e interactuar con equipos electrónicos que tienen ethernet y puerto serial ademas de comunicacion con celulares. Agradezco sus consejos al respecto.”

He movido aqui tu participación, ya que el otro foro es para la evaluación de el “Futuro de la Programación”, esto seguro de que no tendrás problema con esto. Gracias

[Neyer Celso Canaviri Aguilar]

en el TM-04. Microsoft Threat Modeling Tool  ¿porque al definir o agregar la linea de confianza aumenta la cantidad de amenazas?

[Anónimo]

Hola Neyer.

Las amenazas existen aún si no agregaramos la Línea de Confianza, pero no estan visibles.

Desde la perspectiva de MTM-Tool cuando NO agregamos la línea de confianza, entonces la herramienta asume que todos los componentes están situados en una superficie segura como un DMZ por ejemplo.

En el momento que agregamos la Línea de Confianza, entonces estamos declarando explícitamente que entre 2 regiones separadas por la Línea hay entidades que interactuan con datos que son proporcionados de un lado para el otro y esto involucra que haya “autorización, autenticación”.

Por tanto se hacen visibles los problemas existentes, principalmente relacionados con la suplantación de identidad. Y como consecuencia la cantidad de amenzas “aumenta”, o mejor dicho: Se hacen visibles las amenazas que antes no podíamos ver.

Saludos.

[Juan Carlos Ulloa Vasquez]

Saludos.

Una consulta, si bien se nos ha explicado de manera muy clara sobre el análisis estático en nuestros proyectos, apoyándonos en herramientas como SonarQube, quise investigar al respecto del análisis dinámico, pero no encuentro información detallada sobre que herramientas pueden apoyar para realizar una auditoria de un proyecto dinámico, aún mas si hablamos de arquitectura en microservicios, ya que las arquitectura monolítica es más fácil hacer un seguimiento, agradecería una respuesta al respecto.

Atte. Jkarlos

[Juan David Lee Pacheco]

Test,
este es un post de prueba, ya que hice un post anterior respondiendo a Jose Carlos y no se ve.

[Juan David Lee Pacheco]

Respondiendo la pregunta de Jose Carlo,

Una pagina Web consta de partes (siguiendo la separacion de intereses o SOC):

Front-end: es la capa de presentacion, se tiene HTML para la estructura, CSS para los estilos y JavaScript para la funcionalidad (aunque hoy en dia hace mucho mas)

Back-end: es la capa de acceso a datos, mas comun llamado el lado servidor, aqui hay bastantes lenguajes de lado servidor, C# de Microsoft, PHP, JSP (que es Java).

Antes de esto de la pandemia yo me compre un Arduino Mega y tuve que poner en suspenso 2 proyectos que tenia pensado (como hobby), el cual uno era de hidroponia, y tenia pensado que se conecte a la red y bueno, me de los datos a traves de una pagina web, no tengo experiencia en ello (mas alla de la electronica digital de la U), pero basado en la investigacion que hice puedo decir lo siguiente:

La idea principal es que los datos que arrojan los componentes electronicos en este caso Arduino sean guardados en una base de datos, hay varios tutoriales para hacerlo en varios de los lenguajes de lado servidor, yo estaba mirando Python ya que he visto que se usa bastante para lo que es calculo, una vez que ya esta en la base de datos seria exponer una API para que sea consumida por el front-end.

El front-end siempre al final es HTML, CSS, y no es obligatorio pero JavaScript tambien, entonces aprender estos 3 siempre es la base, ademas que HTML y CSS se pueden aprender en una tarde como funcionan y ya su “libreria” se puede ver online, en lo que es JavaScript ahi se puede tardar mas.

Entonces Arduino tiene su Ethernet Shield el cual nos permite asignarle una IP y poder accesar al dispositivo aqui hay un ejemplo https://www.arduino.cc/en/Tutorial/BarometricPressureWebServer donde se devuelve valores de temperatura y presion en formato HTML .

Y bueno como un plan inicial seria:

• empezar aprendiendo la base HTML, CSS
• aprender el lenguaje de arduino que al parecer es un set de C/C++ (arduino C le llaman)
• hacer la primera conexion y mostrar datos como en el ejemplo

Y eso seria como parte inicial que es una pagina web que nos muestra datos de los instrumentos electronicos, aunque estos datos no se estan guardando, pero para iniciar me parece esta bien.

Luego para ya hacer los datos persistentes:

• aprender un lenguaje de lado servidor los mas populares (por ende mas comunidad) que tienen su lado “Web” y se usan con Arduino son: Python, Java, C# y JavaScript <- ahi ya estaria lista la base Web
• crear la capa con la que arduino se comunica y se guardan los datos en la base de datos
• crear la capa que ofrece los datos (una API supongo)

esto en base a lo que investigue, no he podido continuar, sin embargo si es web no hay perdida aprender HTML, CSS y JavaScript si o si se toca.

En cuanto a software para empezar a programar (IDE)  Visual Studio Code me parece muy bueno para la base, es bastante ligero aunque si hablamos de algo bastante ligero Notepad++ tambien, pero las extensiones de Visual Studio Code son muy buenas, actualmente es el que uso junto con Visual Studio para la parte de lado servidor esto por que necesito trabajar con C#

[Anónimo]

@Juan Carlos:

El análisis dinámico está referido a las pruebas que se ejecutan en runtime, es decir en tiempo de ejecución.

Para esto normalmente se deben aplicar las pruebas automatizadas sobre las interfaces (UI y API), ejecutar Regression Tests & Fuzz Testing (si amerita).

Quizas lo nuevo para alguien que se inicia en seguridad es el Fuzz Testing, creo que el siguiente enlace te ayudará a comprender de que se trata: https://docs.microsoft.com/en-us/previous-versions/software-testing/cc162782(v=msdn.10)?redirectedfrom=MSDN

Es sumamente recomendado contar con un ambiente de pre-producción llamado STAGING que es donde el equipo de desarrollo, pruebas y los usuarios finales realizarán las pruebas dinámicas.

[Anónimo]

@Juan David

El Administrador de la plataforma me explicó que cuando la entrada del Foro contiene enlaces, entonces es mandado a un estado de “Pendiente”, y mientras nadie lo revise no es publicado.

En breve tu post debería estar visible, saludos.

[Juan Carlos Ulloa Vasquez]

Muchas gracias por las respuestas, ahora si me queda claro que es lo que debo hacer, que tengan buenas tardes, respecto a lo que me da como ejemplo @David Lee, he trabajado en la universidad con Arduino, y la forma más convencional es usar peticiones “GET” hacia nuestro WebService, trabajando sobre HTTP (quedan expuestos los datos), y HTTP1.0 para la solicitud, así evitar experimentar problemas en una fase de pruebas, para el uso de SSL (Capa de socket seguro), es más trabajoso por el tema de almacenar certificados y validar datos también ver que tanta carga tendrá tu Arduino Mega.

[Autor]

Entradas