Курс за обучение по Пейзажът на защитеното кодиране

Android е отворена платформа за мобилни устройства, като смартфони и таблети. Тя разполага с разнообразие от сигурностни функции, които облекчават разработката на сигурни софтуерни продукти; обаче липсват някои сигурностни аспекти, които са налични в други платформи за ръчни устройства. Курсът дава всеобхватен преглед на тези функции и подчертава най-критичните недостатъци, за които трябва да се знае, свързани със съответното Linux, файловата система и общата среда, както и за използването на разрешения и други компоненти за разработка на софтуер в Android.

Типичните проблеми със сигурността и уязвимостите се описват както за оригинален код, така и за Java приложения, заедно с препоръки и добри практики, за да се избегнат и намалят. В много от обсъжданите случаи въпросите се подкрепят с реални пример и изследвания. Конечно, даваме кратък преглед за използване на инструменти за тестиране на сигурността, за да се разкрият всички програмиращи грешки, свързани със сигурността.

Участниците в курса ще

• Разберат основните концепции на сигурността, ИТ сигурността и сигурното програмиране
• Научат сигурността на решенията в Android
• Научат как да използват различни сигурностни функции на платформата Android
• Добият информация за някои от последните уязвимости в Java в Android
• Научат за типичните грешки при програмиране и как да ги избегнат
• Добият разбиране за уязвимостите в оригиналния код в Android
• Разберат сериозните последици от несигурното обработване на буферите в оригиналния код
• Разберат техниката за архитектурна защита и нейните слабости
• Добият източници и допълнително четене за сигурното програмиране

Целева група

Професионалисти

Внедряването на защитено мрежово приложение може да бъде трудно дори за разработчици, които може да са използвали различни криптографски градивни елементи (като криптиране и цифрови подписи) предварително. За да накарат участниците да разберат ролята и използването на тези криптографски примитиви, първо се дава солидна основа на основните изисквания за защитена комуникация – сигурно потвърждение, интегритет, поверителност, отдалечена идентификация и анонимност, като същевременно се представят типичните проблеми, които може да повреди тези изисквания заедно с реалните решения.

Тъй като криптографията е критичен аспект на мрежовата сигурност, най-важните криптографски алгоритми в симетричната криптография, хеширането, асиметричната криптография и споразумението за ключове също се обсъждат. Вместо да представят задълбочена математическа основа, тези елементи се обсъждат от гледна точка на разработчика, показвайки типични примери за използване и практически съображения, свързани с използването на крипто, като инфраструктури с публичен ключ. Представени са протоколи за сигурност в много области на защитена комуникация, със задълбочено обсъждане на най-широко използваните семейства протоколи като IPSEC и SSL/TLS.

Обсъждат се типични крипто уязвимости, свързани както с определени крипто алгоритми, така и с криптографски протоколи, като BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE и подобни, както и атаката за синхронизиране на RSA. Във всеки случай практическите съображения и потенциалните последствия са описани за всеки проблем, отново, без да се навлиза в дълбоки математически подробности.

И накрая, тъй като технологията XML е централна за обмен на данни от мрежови приложения, аспектите на сигурността на XML са описани. Това включва използването на XML в рамките на уеб услуги и SOAP съобщения заедно с мерки за защита като XML подпис и XML криптиране – както и слабости в тези мерки за защита и специфични за XML проблеми със сигурността, като XML инжекция, XML атаки на външен обект (XXE), XML бомби и XPath инжекция.

Участниците, посещаващи този курс, ще

• Разберете основните понятия за сигурност, ИТ сигурност и сигурно кодиране
• Разберете изискванията за сигурна комуникация
• Научете за мрежовите атаки и защити на различни OSI слоеве
• Имате практическо разбиране на криптографията
• Разберете основните протоколи за сигурност
• Разберете някои скорошни атаки срещу криптосистеми
• Получете информация за някои скорошни свързани уязвимости
• Разберете концепциите за сигурност на уеб услугите
• Получете източници и допълнителна информация за практиките за безопасно кодиране

Публика

Разработчици, професионалисти

Този тридневен курс обхваща основите на защитата на C/C++ кода срещу злонамерени потребители, които могат да използват много уязвимости в кода с управление на паметта и обработка на входни данни, курсът обхваща принципите на писане на защитен код.

Дори опитни Java програмисти не владеят по всякакъв начин различните услуги за сигурност, предлагани от Java, и също така не са наясно с различните уязвимости, които са от значение за уеб приложенията, написани на Java.

Курсът – освен представяне на компонентите за сигурност на Standard Java Edition – се занимава с проблемите на сигурността на Java Enterprise Edition (JEE) и уеб услугите. Обсъждането на конкретни услуги е предшествано от основите на криптографията и защитената комуникация. Различни упражнения се занимават с декларативни и програмни техники за сигурност в JEE, докато се обсъжда сигурността на транспортния слой и от край до край на уеб услугите. Използването на всички компоненти е представено чрез няколко практически упражнения, където участниците могат сами да изпробват обсъжданите API и инструменти.

Курсът също така разглежда и обяснява най-честите и тежки програмни недостатъци на Java езика и платформата и свързаните с мрежата уязвимости. Освен типичните грешки, допуснати от Java програмисти, въведените уязвимости в сигурността обхващат както специфични за езика проблеми, така и проблеми, произтичащи от средата за изпълнение. Всички уязвимости и съответните атаки се демонстрират чрез лесни за разбиране упражнения, последвани от препоръчителните насоки за кодиране и възможните техники за смекчаване.

Участниците, посещаващи този курс, ще

Разберете основните понятия за сигурност, ИТ сигурност и защитено кодиране Научете уеб уязвимостите отвъд OWASP Топ 10 и знайте как да ги избегнете Разберете концепциите за сигурност на уеб услугите Научете се да използвате различни функции за сигурност на средата за разработка на Java Имате практическо разбиране на криптографията Разберете решения за сигурност на Java EE Научете за типичните грешки при кодиране и как да ги избегнете Получете информация за някои скорошни уязвимости в рамката на Java Получете практически познания за използването на инструменти за тестване на сигурността Получете източници и допълнителна информация за практиките за безопасно кодиране

Публика

Разработчици

Описание

Езикът Java и средата за изпълнение (JRE) са проектирани да бъдат освободени от най-проблемните често срещани уязвимости в сигурността, срещани в други езици, като C/C++. И все пак разработчиците на софтуер и архитектите трябва не само да знаят как да използват различните функции за сигурност на Java средата (положителна сигурност), но също така трябва да са наясно с многобройните уязвимости, които все още са от значение за Java разработката (отрицателна сигурност) .

Въвеждането на услугите за сигурност е предшествано от кратък преглед на основите на криптографията, предоставяйки обща базова линия за разбиране на целта и работата на приложимите компоненти. Използването на тези компоненти е представено чрез няколко практически упражнения, където участниците могат сами да изпробват обсъжданите API.

Курсът също така разглежда и обяснява най-честите и тежки програмни недостатъци на Java езика и платформата, като обхваща както типичните грешки, допуснати от Java програмисти, така и специфичните за езика и средата проблеми. Всички уязвимости и съответните атаки се демонстрират чрез лесни за разбиране упражнения, последвани от препоръчителните насоки за кодиране и възможните техники за смекчаване.

Участниците, посещаващи този курс, ще

Разберете основните понятия за сигурност, ИТ сигурност и сигурно кодиране Научете уеб уязвимостите отвъд OWASP Топ 10 и знайте как да ги избегнете Научете се да използвате различни функции за сигурност на средата за разработка на Java Имате практическо разбиране на криптографията Научете за типичните грешки в кодирането и как за да ги избегнете Получете информация за някои скорошни уязвимости в рамката на Java Получете източници и допълнителни четения за защитени практики за кодиране

Публика

Разработчици

Днес са налични редица програмни езици за компилиране на код в .NET и ASP.NET frameworks. Средата предоставя мощни средства за развитие на сигурността, но разработчиците трябва да знаят как да прилагат техниките за програмиране на ниво архитектура и кодиране, за да приложат желаната функционалност за сигурност и да избегнат уязвимостите или да ограничат тяхното използване.

Целта на този курс е да научи разработчиците чрез многобройни практически упражнения как да предотвратят извършването на привилегировани действия от ненадежден код, да защитят ресурсите чрез силно удостоверяване и оторизация, да осигурят извиквания на отдалечени процедури, да управляват сесии, да въведат различни реализации за определени функционалности и много Повече ▼.

Въвеждането на различни уязвимости започва с представяне на някои типични програмни проблеми, възникнали при използване на .NET, докато обсъждането на уязвимостите на ASP.NET също се занимава с различни настройки на средата и техните ефекти. И накрая, темата за специфичните за ASP.NET уязвимости се занимава не само с някои общи предизвикателства пред сигурността на уеб приложенията, но и със специални проблеми и методи за атака като атака на ViewState или атаки за прекратяване на низове.

Участниците, посещаващи този курс, ще

Разберете основните понятия за сигурност, ИТ сигурност и сигурно кодиране Научете уязвимостите в мрежата отвъд OWASP Топ 10 и знайте как да ги избегнете Научете се да използвате различни функции за сигурност на средата за разработка на .NET Получете практически знания за използването на инструменти за тестване на сигурността Научете за типичното кодиране грешки и как да ги избегнете Получете информация за някои скорошни уязвимости в .NET и ASP.NET Получете източници и допълнителни четения за защитени практики за кодиране

Публика

Разработчици

Курсът предоставя основни умения за PHP разработчиците, необходими, за да направят приложенията си устойчиви на съвременните атаки през Интернет. Уязвимостите в мрежата се обсъждат чрез PHP базирани примери, надхвърлящи първите десет на OWASP, справящи се с различни атаки чрез инжектиране, инжектиране на скриптове, атаки срещу обработка на сесии на PHP, несигурни директни препратки към обекти, проблеми с качването на файлове и много други. Свързаните с PHP уязвимости се въвеждат групирани в стандартните типове уязвимости на липсващо или неправилно валидиране на въвеждане, неправилно обработване на грешки и изключения, неправилно използване на функции за сигурност и проблеми, свързани с времето и състоянието. За последното обсъждаме атаки като заобикаляне на open_basedir, отказ на услуга чрез магически float или атака на сблъсък на хеш таблица. Във всички случаи участниците ще се запознаят с най-важните техники и функции, които да се използват за намаляване на посочените рискове.

Специален фокус се отделя на сигурността от страна на клиента, като се справят с проблеми със сигурността на JavaScript, Ajax и HTML5. Въвеждат се редица свързани със сигурността разширения на PHP като хеш, mcrypt и OpenSSL за криптография, или Ctype, ext/filter и HTML Purifier за проверка на входа. Най-добрите практики за защита са дадени във връзка с PHP конфигурация (настройка php.ini), Apache и сървъра като цяло. Накрая е даден преглед на различни инструменти и техники за тестване на сигурността, които разработчиците и тестерите могат да използват, включително скенери за сигурност, тестове за проникване и експлойт пакети, снифери, прокси сървъри, инструменти за размиване и статични анализатори на изходния код.

Както въвеждането на уязвимостите, така и практиките за конфигуриране са подкрепени от редица практически упражнения, демонстриращи последствията от успешни атаки, показващи как да се прилагат техники за смекчаване и представяне на използването на различни разширения и инструменти.

Участниците, посещаващи този курс, ще

Разберете основните понятия за сигурност, ИТ сигурност и сигурно кодиране Научете уязвимостите в мрежата извън Топ 10 на OWASP и знайте как да ги избегнете Научете уязвимостите от страна на клиента и практиките за сигурно кодиране Имайте практическо разбиране на криптографията Научете се да използвате различни функции за сигурност на PHP Научете за типичните грешки при кодирането и как да ги избегнете Бъдете информирани за скорошни уязвимости на PHP рамката Получете практически познания за използването на инструменти за тестване на сигурността Получете източници и допълнителни четения относно практиките за безопасно кодиране

Публика

Разработчици

Комбинираното основно SDL обучение дава представа за проектиране, разработка и тестване на защитен софтуер чрез Microsoft Жизнен цикъл на защитена разработка (SDL). Той предоставя преглед на ниво 100 на основните градивни елементи на SDL, последван от техники за проектиране, които да се прилагат за откриване и отстраняване на недостатъци в ранните етапи на процеса на разработка.

Като се занимава с фазата на разработка, курсът дава общ преглед на типичните програмни грешки, свързани със сигурността, както на управлявания, така и на собствения код. Методите за атака са представени за обсъжданите уязвимости заедно със свързаните техники за смекчаване, всички обяснени чрез редица практически упражнения, осигуряващи забавление за хакване на живо за участниците. Въвеждането на различни методи за тестване на сигурността е последвано от демонстриране на ефективността на различни инструменти за тестване. Участниците могат да разберат работата на тези инструменти чрез редица практически упражнения, като прилагат инструментите към вече обсъдения уязвим код.

Участниците на този курс ще 

Разбират основните концепции за сигурност, ИТ сигурност и сигурно програмиране

Запознават се с основните стъпки на Microsoft Жизнен цикъл на защитен разработка

Научават сигурни принципи за проектиране и разработка

Научават за принципи за сигурна имплементация

Разбират методология за тестване на сигурността

• Получават източници и допълнителни четива за практики на сигурно програмиране

Публика

Разработчици, мениджъри

След като се запознаят с уязвимостите и методите за атака, участниците се запознават с общия подход и методологията за тестване на сигурността и техниките, които могат да бъдат приложени за разкриване на конкретни уязвимости. Тестването на сигурността трябва да започне със събиране на информация за системата (ToC, т.е. Target of Evaluation), след което задълбочено моделиране на заплахи трябва да разкрие и оцени всички заплахи, достигайки до най-подходящия тестов план, базиран на анализ на риска.

Оценките на сигурността могат да се извършват на различни стъпки на SDLC и затова обсъждаме преглед на дизайна, преглед на кода, разузнаване и събиране на информация за системата, тестване на внедряването и тестване и укрепване на средата за сигурно внедряване. Много техники за тестване на сигурността са въведени в детайли, като анализ на замърсяване и преглед на код, базиран на евристика, анализ на статичен код, динамично тестване на уеб уязвимости или размиване. Представени са различни видове инструменти, които могат да се прилагат, за да се автоматизира оценката на сигурността на софтуерни продукти, което също е подкрепено от редица упражнения, където изпълняваме тези инструменти, за да анализираме вече обсъдения уязвим код. Много казуси от реалния живот подкрепят по-доброто разбиране на различни уязвимости.

Този курс подготвя изпитателите и QA персонала за адекватно планиране и прецизно изпълнение на тестове за сигурност, избор и използване на най-подходящите инструменти и техники за намиране дори на скрити пропуски в сигурността и по този начин дава основни практически умения, които могат да бъдат приложени на следващия работен ден.

Участниците, посещаващи този курс, ще

Разберете основните понятия за сигурност, ИТ сигурност и сигурно кодиране Научете уязвимостите в мрежата отвъд OWASP Топ 10 и знайте как да ги избегнете Научете уязвимостите от страна на клиента и практиките за сигурно кодиране Разберете подходите и методологиите за тестване на сигурността Получете практически познания за използването на техники за тестване на сигурността и инструменти Вземете източници и допълнителна информация за практиките за безопасно кодиране

Публика

Разработчици, Тестери

Защитата на приложения, които са достъпни през мрежата, изисква добре подготвен специалист по сигурността, който по всяко време е наясно с текущите методи и тенденции на атака. Съществуват множество технологии и среди, които позволяват удобно разработване на уеб приложения. Човек не само трябва да е наясно с проблемите на сигурността, свързани с тези платформи, но и с всички общи уязвимости, които се прилагат независимо от използваните инструменти за разработка.

Курсът дава преглед на приложимите решения за сигурност в уеб приложенията, със специален фокус върху разбирането на най-важните криптографски решения, които трябва да бъдат приложени. Различните уязвимости на уеб приложенията са представени както от страна на сървъра (след OWASP Топ 10), така и от страната на клиента, демонстрирани чрез съответните атаки и последвани от препоръчаните техники за кодиране и методи за смекчаване, за да се избегнат свързаните проблеми. Темата за защитеното кодиране е приключила с обсъждане на някои типични програмни грешки, свързани със сигурността, в областта на валидирането на входа, неправилното използване на функциите за сигурност и качеството на кода.

Тестването играе много важна роля за гарантиране на сигурността и устойчивостта на уеб приложенията. Различни подходи – от одит на високо ниво през тестове за проникване до етично хакване – могат да бъдат приложени за откриване на различни видове уязвимости. Въпреки това, ако искате да отидете отвъд лесните за намиране ниско висящи плодове, тестването на сигурността трябва да бъде добре планирано и правилно изпълнено. Запомнете: тестерите за сигурност трябва в идеалния случай да намерят всички грешки, за да защитят системата, докато за противниците е достатъчно да намерят една използваема уязвимост, за да проникнат в нея.

Практическите упражнения ще помогнат за разбирането на уязвимостите на уеб приложенията, грешките в програмирането и най-важното техниките за смекчаване, заедно с практически изпитания на различни инструменти за тестване от скенери за сигурност, през снифери, прокси сървъри, инструменти за размиване до статични анализатори на изходния код, този курс дава основни практически умения, които могат да бъдат приложени на следващия ден на работното място.

Участниците, посещаващи този курс, ще

Разберете основните понятия за сигурност, ИТ сигурност и сигурно кодиране Научете уеб уязвимостите отвъд OWASP Топ 10 и знайте как да ги избегнете Научете уязвимостите от страна на клиента и практиките за сигурно кодиране Имайте практическо разбиране на криптографията Разберете подходите и методологиите за тестване на сигурността Получете практически знания при използване на техники и инструменти за тестване на сигурността Бъдете информирани за скорошни уязвимости в различни платформи, рамки и библиотеки Получавайте източници и допълнителни четения за практики за защитено кодиране

Публика

Разработчици, Тестери

В този воден от инструктори курс на живо в България участниците ще се научат как да формулират правилната стратегия за сигурност, за да се справят с DevOps предизвикателството за сигурност.

EC-Council Сертифициран инженер по DevSecOps (ECDE) е курс с практически упражнения, направен да обучва професионалисти на уменията да внедряват сигурност в DevOps цикъла, което позволява сигурно разработване на софтуер от планирането до развертането.

Този курс с инструктор, провеждан на живо (онлайн или на място), е предназначен за професионалисти с интермедиерни умения в софтуер и DevOps, които искат да интегрират практики за сигурност в CI/CD pipeлините, осигурявайки сигурно и съответстващо на нормите доставяне на код.

До края на това обучение участниците ще могат да:

• Разберат принципите и практиките на DevSecOps.
• Осигурят всяка фаза от CI/CD pipeлината, използвайки автоматизирани инструменти.
• Имплементират сигурни практики за кодиране и сканиране за уязвимости.
• Подготвят се за сертификацията ECDE с практически лаборатории и преглед.

Формат на курса

• Интерактивни лекции и дискусии.
• Практически упражнения с инструменти за DevSecOps в симулирани pipeлини.
• Упражнения с ръководство, фокусирани върху сигурно разработване и развертане.

Опции за персонализиране на курса

• За заявяване на персонализиран обучавателен курс за този курс, съобразен с работите процеси или веригата от инструменти на вашия екип, моля свържете се с нас, за да уредим.

Този курс в България има за цел да помага в следните области:

1. Помага на разработчици да овладяват техниките на писане на сигурен код
2. Помага на софтуерни тестери да тестват сигурността на приложението преди публикуването в продукционната среда
3. Помага на софтуерни архитекти да разберат рисковете, свързани с приложенията
4. Помага на тим лидери да установят сигурностни базови линии за разработчиците
5. Помага на уебмайстери да конфигурират серверите, за да се избегнат грешни конфигурации

Този курс обхваща концепциите и принципите за защитено кодиране с Java чрез методологията на тестване на Open Web Application Security Project (OWASP). Open Web Application Security Project е онлайн общност, която създава свободно достъпни статии, методологии, документация, инструменти и технологии в областта на сигурността на уеб приложенията.

Този курс обхваща концепциите и принципите за защитено кодиране с ASP.net чрез Open Web Application Security Project (OWASP) методология за тестване, OWASP е онлайн общност, която създава свободно достъпни статии, методологии, документация, инструменти и технологии в областта на сигурността на уеб приложенията.

Този курс изследва функциите за сигурност на Dot Net Framework и как да защитите уеб приложенията.