Курс за обучение по Защита на уеб приложения

Android е отворена платформа за мобилни устройства, като смартфони и таблети. Тя разполага с разнообразие от сигурностни функции, които облекчават разработката на сигурни софтуерни продукти; обаче липсват някои сигурностни аспекти, които са налични в други платформи за ръчни устройства. Курсът дава всеобхватен преглед на тези функции и подчертава най-критичните недостатъци, за които трябва да се знае, свързани със съответното Linux, файловата система и общата среда, както и за използването на разрешения и други компоненти за разработка на софтуер в Android.

Типичните проблеми със сигурността и уязвимостите се описват както за оригинален код, така и за Java приложения, заедно с препоръки и добри практики, за да се избегнат и намалят. В много от обсъжданите случаи въпросите се подкрепят с реални пример и изследвания. Конечно, даваме кратък преглед за използване на инструменти за тестиране на сигурността, за да се разкрият всички програмиращи грешки, свързани със сигурността.

Участниците в курса ще

• Разберат основните концепции на сигурността, ИТ сигурността и сигурното програмиране
• Научат сигурността на решенията в Android
• Научат как да използват различни сигурностни функции на платформата Android
• Добият информация за някои от последните уязвимости в Java в Android
• Научат за типичните грешки при програмиране и как да ги избегнат
• Добият разбиране за уязвимостите в оригиналния код в Android
• Разберат сериозните последици от несигурното обработване на буферите в оригиналния код
• Разберат техниката за архитектурна защита и нейните слабости
• Добият източници и допълнително четене за сигурното програмиране

Целева група

Професионалисти

Внедряването на защитено мрежово приложение може да бъде трудно дори за разработчици, които може да са използвали различни криптографски градивни елементи (като криптиране и цифрови подписи) предварително. За да накарат участниците да разберат ролята и използването на тези криптографски примитиви, първо се дава солидна основа на основните изисквания за защитена комуникация – сигурно потвърждение, интегритет, поверителност, отдалечена идентификация и анонимност, като същевременно се представят типичните проблеми, които може да повреди тези изисквания заедно с реалните решения.

Тъй като криптографията е критичен аспект на мрежовата сигурност, най-важните криптографски алгоритми в симетричната криптография, хеширането, асиметричната криптография и споразумението за ключове също се обсъждат. Вместо да представят задълбочена математическа основа, тези елементи се обсъждат от гледна точка на разработчика, показвайки типични примери за използване и практически съображения, свързани с използването на крипто, като инфраструктури с публичен ключ. Представени са протоколи за сигурност в много области на защитена комуникация, със задълбочено обсъждане на най-широко използваните семейства протоколи като IPSEC и SSL/TLS.

Обсъждат се типични крипто уязвимости, свързани както с определени крипто алгоритми, така и с криптографски протоколи, като BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE и подобни, както и атаката за синхронизиране на RSA. Във всеки случай практическите съображения и потенциалните последствия са описани за всеки проблем, отново, без да се навлиза в дълбоки математически подробности.

И накрая, тъй като технологията XML е централна за обмен на данни от мрежови приложения, аспектите на сигурността на XML са описани. Това включва използването на XML в рамките на уеб услуги и SOAP съобщения заедно с мерки за защита като XML подпис и XML криптиране – както и слабости в тези мерки за защита и специфични за XML проблеми със сигурността, като XML инжекция, XML атаки на външен обект (XXE), XML бомби и XPath инжекция.

Участниците, посещаващи този курс, ще

• Разберете основните понятия за сигурност, ИТ сигурност и сигурно кодиране
• Разберете изискванията за сигурна комуникация
• Научете за мрежовите атаки и защити на различни OSI слоеве
• Имате практическо разбиране на криптографията
• Разберете основните протоколи за сигурност
• Разберете някои скорошни атаки срещу криптосистеми
• Получете информация за някои скорошни свързани уязвимости
• Разберете концепциите за сигурност на уеб услугите
• Получете източници и допълнителна информация за практиките за безопасно кодиране

Публика

Разработчици, професионалисти

Този тридневен курс обхваща основите на защитата на C/C++ кода срещу злонамерени потребители, които могат да използват много уязвимости в кода с управление на паметта и обработка на входни данни, курсът обхваща принципите на писане на защитен код.

Дори най-опитните Java програмисти не владеят на всичките разнообразни услуги за сигурност, предлагавани от Java, и не са запознати със различните уязвимости, които са релевантни за уеб приложения, написани на Java.

Курсът, освен че представя компонентите за сигурност на Стандартна Java версия, разглежда и въпросите на сигурност на Java Enterprise Edition (JEE) и уеб услуги. Обсъждането на специфични услуги предшестват основите на криптографията и сигурната комуникация. Различни упражнения разглеждат декларативни и програмни техники за сигурност в JEE, докато се обсъжда сигурността на транспортния слой и крайна-крайна сигурност на уеб услуги. Ползването на всички компоненти се представя през няколко практически упражнения, в които участниците могат сами да изследват обсужданите API и инструменти.

Курсът също разглежда и обяснява най-честите и сериозни програмиращи грешки на езика и платформата Java и уеб свързани уязвимости. Освен типичните грешки, извършвани от Java програмисти, представените уязвимости покриват както езикови специфични проблеми, така и проблеми, произлизащи от средата за изпълнение. Всички уязвимости и релевантни атаки се демонстрират през упражнения, които са лесни за разбиране, следвани от препоръчваните правилници за програмиране и възможните техники за намаляване на риска.

Участниците в курса ще

• Разберат основните концепции за сигурност, ИТ сигурност и сигурно програмиране
• Научат уеб уязвимости извън OWASP Top Ten и как да ги избегнат
• Разберат концепциите за сигурност на уеб услуги
• Научат да използват разнообразни характеристики за сигурност на Java разработващата среда
• Придобият практическо разбиране на криптографията
• Разберат решенията за сигурност на Java EE
• Научат за типичните грешки при програмирането и как да ги избегнат
• Получат информация за някои от последните уязвимости в Java фреймуърка
• Придобият практическо знание в ползването на инструменти за тестване на сигурност
• Получат източници и допълнителна литература за сигурно програмиране

Целева група

Разработчици

Описание

Езикът Java и средата за изпълнение (JRE) са разработени така, че да бъдат свободни от повечето проблемни общоразпространени уязвимости по сигурност, които се срещат в други езици, като C/C++. Въпреки това, софтуерните разработчици и архитекти трябва не само да знаят как да използват различните функции за сигурност на Java средата (позитивна сигурност), но и да са осведомени за множеството уязвимости, които все още са актуални за разработката на Java (негативна сигурност).

Въведението на услуги за сигурност предшества кратък преглед на основите на криптографията, който предоставя обща база за разбиране на целта и функционирането на приложимите компоненти. Употребата на тези компоненти се представя чрез няколко практически упражнения, където участниците могат да оprobват самите си API, които са били обсуждавани.

Курсът също разглежда и обяснява най-често срещаните и сериозни грешки в програмирането на език Java и платформата, покривайки както типичните грешки, които се правят от програмистите на Java, така и проблеми специфични за езика и средата. Всички уязвимости и релевантни атаки се демонстрират чрез упражнения, които са лесни за разбиране, последвани от препоръчвани насоки за код и възможни техники за намаляване на риска.

Участниците в този курс ще

• Разбират основните концепции на сигурността, ИТ сигурността и сигурното програмиране
• Научават за web уязвимости, освен OWASP Top Ten, и как да ги избегнат
• Научават как да използват различни функции за сигурност на Java средата за разработка
• Имат практично разбиране на криптографията
• Научават за типичните грешки в програмирането и как да ги избегнат
• Получават информация за някои от последните уязвимости в Java фреймуърка
• Получават източници и допълнителна литература за практики на сигурно програмиране

Целева група

Разработчици

Днес е налично множество програмиращи езици, които могат да компилират код за платформата .NET и ASP.NET. Окружението предоставя мощни възможности за развитие на сигурност, но разработчиците трябва да знаят как да приложат техники за програмиране на архитектурно и кодово ниво, за да реализират желаната функционалност за сигурност и да предотвратят уязвимости или да ограничат тяхното използване.

Целта на този курс е да обучава разработчици, чрез множество практични упражнения, как да предотвратят непроверен код да изпълнява привилегировани действия, да защитават ресурси чрез силна аутентикация и авторизация, да осигуряват дистанционни извиквания на процедури, да обработват сесии, да въвеждат различни имплементации на определена функционалност и много друго.

Представянето на различни уязвимости започва с показване на някои типични проблемни ситуации при използването на .NET, докато разглеждането на уязвимостите на ASP.NET обхваща различни настройки на средата и тяхното влияние. Накрая, темата за специфичните уязвимости на ASP.NET разглежда не само някои общи предизвикателства на сигурността на уеб приложенията, но и специални проблеми и методи за атака като атаки срещу ViewState или атаки на края на стрингове.

Участниците в този курс ще

• Разберат основните концепции на сигурност, ИТ сигурност и сигурно програмиране
• Научат уеб уязвимости, освен OWASP Top Ten, и как да ги предотвратят
• Научат как да използват различните възможности за сигурност на средата за разработка .NET
• Получат практическа информация за използването на инструменти за тестване на сигурност
• Научат за типичните грешки при програмирането и как да ги предотвратят
• Получат информация за някои от последните уязвимости в .NET и ASP.NET
• Получат източници и допълнителна литература за практики за сигурно програмиране

Целева аудитория

Разработчици

Курсът представя някои общоприети концепции за сигурност, дава преглед за природата на уязвимостите независимо от използваните езици за програмиране и платформи, и обяснява как да се справяте с рисковете, които се отнасят до сигурността на софтуера в различните фази на живота на софтуера. Без да влиза в дълбочина на технически детайли, той подчертава някои от най-интересните и болни уязвимости в различни технологии за разработка на софтуер и представя предизвикателствата на тестване за сигурност, заедно с някои техники и инструменти, които можете да приложите за откриване на всякакви проблеми в кода си.

Участниците в този курс ще

• Разберат основните концепции за сигурност, ИТ сигурност и сигурно програмиране
• Разберат уязвимостите на уеб платформите, както на сървърната, така и на клиентската страна
• Осъзнаят тежките последици от несигурно обработване на буфери
• Научат за някои от най-скъсите уязвимости в средите за разработка и фреймворкове
• Научат как да избегнат типични грешки в кода
• Разберат подходи и методики за тестване за сигурност

Целова група

Мениджъри

Курсът предоставя основни умения за разработчиците на PHP, необходими да направят приложенията им устойчиви към современите атаки през интернет. Уязвимостите на уеб-приложенията се обсъжда чрез примери базирани на PHP, отиващи извън топ десетката OWASP и решаващи различни видове инджекции, скриптови инджекции, атаки против управлението на сесии в PHP, несигурни директни обекти, проблеми при качване на файлове и други. Уязвимостите свързани с PHP са групирани по стандартните типове уязвимости: липса или неправилна валидация на входните данни, грешки при обработката на грешки и изключения, неправилно използване на сигурността и проблеми свързани с времето и състоянията. За последното разглеждаме атаки като обикновената обикалка open_basedir, отрицаване на обслужване през магически флоат или атака чрез колизия в хаш таблиците. Във всички случаи участниците ще се запознаят с най-важните техники и функции, които да използват за намаление на посочените рискове.

Специално внимание е обърнато върху клиентската сигурност, решаваща проблемите свързани с JavaScript, Ajax и HTML5. Разглеждат се бройни сигурносни добавки към PHP като hash, mcrypt и OpenSSL за криптоанализ, или Ctype, ext/filter и HTML Purifier за валидация на входните данни. Лучшите практики за закъсняване са предложени във връзка с конфигурирането на PHP (задаване на php.ini), Apache и сървъра по-общо. Накрая, дава се преглед на различни сигурносни тествани инструменти и техники, които разработчиците и тестиращите могат да използват, включително сигурностни сканери, пробивни тествания и пакети с експлоити, шпионажни програми, прокси сървъри, инструменти за фазинг и статични анализатори на източния код.

И въведение към уязвимостите, и практиките по конфигуриране са подкрепени от бройни практически упражнения, демонстриращи последствията на успешните атаки, показващи как да се прилагат методите за намаление и въвеждащи използването на различни добавки и инструменти.

Участниците, присъстващи на този курс, ще

• Разберат основните концепции за сигурност, ИТ сигурност и безопасно програмиране
• Учават за уязвимостите на уеб-приложенията извън топ десетката OWASP и как да ги избягват
• Учават за клиентските уязвимости и практики за безопасно програмиране
• Имамат практическо разбиране на криптоанализа
• Научават как да използват различните сигурносни функции на PHP
• Учават за типичните грешки при програмирането и как да ги избягват
• Са информирани за последните уязвимости в рамката на PHP
• Получават практическа знания за използване на сигурносни тествани инструменти
• Получават ресурси и допълнителни материали за безопасно програмиране

Целева група

Разработчици

Комбинираното основно SDL обучение дава представа за проектиране, разработка и тестване на защитен софтуер чрез Microsoft Жизнен цикъл на защитена разработка (SDL). Той предоставя преглед на ниво 100 на основните градивни елементи на SDL, последван от техники за проектиране, които да се прилагат за откриване и отстраняване на недостатъци в ранните етапи на процеса на разработка.

Като се занимава с фазата на разработка, курсът дава общ преглед на типичните програмни грешки, свързани със сигурността, както на управлявания, така и на собствения код. Методите за атака са представени за обсъжданите уязвимости заедно със свързаните техники за смекчаване, всички обяснени чрез редица практически упражнения, осигуряващи забавление за хакване на живо за участниците. Въвеждането на различни методи за тестване на сигурността е последвано от демонстриране на ефективността на различни инструменти за тестване. Участниците могат да разберат работата на тези инструменти чрез редица практически упражнения, като прилагат инструментите към вече обсъдения уязвим код.

Участниците на този курс ще 

Разбират основните концепции за сигурност, ИТ сигурност и сигурно програмиране

Запознават се с основните стъпки на Microsoft Жизнен цикъл на защитен разработка

Научават сигурни принципи за проектиране и разработка

Научават за принципи за сигурна имплементация

Разбират методология за тестване на сигурността

• Получават източници и допълнителни четива за практики на сигурно програмиране

Публика

Разработчици, мениджъри

След като се запознаят с уязвимостите и методите за атаки, участниците научават за общия подход и методологията за тестиране на сигурността, както и техниките, които могат да бъдат приложени, за да открият специфични уязвимости. Тестирането на сигурността трябва да започне с събиране на информация за системата (ToC, т.е. Обект на оценка), след това подробно моделиране на заплахите трябва да открие и оценят всички заплахи, стигайки до най-подходящия план за тестване, основан на анализ на риска.

Оценките на сигурността могат да се провеждат на различни етапи на ЖЦС, затова обсъждаме преглед на дизайна, преглед на кода, разузнаване и събиране на информация за системата, тестване на имплементацията и тестване и укрепняване на средата за сигурно развертяване. Много техники за тестиране на сигурността се представят подробно, като анализ на замазване и преглед на код, базиран на евристика, статичен анализ на код, динамично тестване на уязвимости на уеб приложения или фъзъринг. Различни типове инструменти се представят, които могат да бъдат приложени, за да автоматизират оценката на сигурността на софтуерни продукти, което се подкрепя и от множество упражнения, където изпълняваме тези инструменти, за да анализираме вече обсъденият уязвим код. Много реални случаи подкрепят по-добро разбиране на различни уязвимости.

Този курс подготвя тестера и персонал за качеството да планират и изпълняват адекватно тестове за сигурност, да избират и използват най-приемливите инструменти и техники, за да намерят дори скритите сигурностни грешки, и така им дава основни практични умения, които могат да бъдат приложени на следващия работен ден.

Участниците, посетили този курс ще

• Разберат основните концепции на сигурността, ИТ сигурността и сигурното програмиране
• Научат уеб уязвимости над ОWASP Топ Десет и как да ги избегнат
• Научат уязвимости на клиентска страна и практики за сигурно програмиране
• Разберат подходите и методологиите за тестиране на сигурността
• Получат практическо знание за използването на техники и инструменти за тестиране на сигурността
• Получат източници и допълнителни четения за практики за сигурно програмиране

Целева група

Разработчици, Тестери

В този воден от инструктори курс на живо в България участниците ще се научат как да формулират правилната стратегия за сигурност, за да се справят с DevOps предизвикателството за сигурност.

EC-Council Сертифициран инженер по DevSecOps (ECDE) е курс с практически упражнения, направен да обучва професионалисти на уменията да внедряват сигурност в DevOps цикъла, което позволява сигурно разработване на софтуер от планирането до развертането.

Този курс с инструктор, провеждан на живо (онлайн или на място), е предназначен за професионалисти с интермедиерни умения в софтуер и DevOps, които искат да интегрират практики за сигурност в CI/CD pipeлините, осигурявайки сигурно и съответстващо на нормите доставяне на код.

До края на това обучение участниците ще могат да:

• Разберат принципите и практиките на DevSecOps.
• Осигурят всяка фаза от CI/CD pipeлината, използвайки автоматизирани инструменти.
• Имплементират сигурни практики за кодиране и сканиране за уязвимости.
• Подготвят се за сертификацията ECDE с практически лаборатории и преглед.

Формат на курса

• Интерактивни лекции и дискусии.
• Практически упражнения с инструменти за DevSecOps в симулирани pipeлини.
• Упражнения с ръководство, фокусирани върху сигурно разработване и развертане.

Опции за персонализиране на курса

• За заявяване на персонализиран обучавателен курс за този курс, съобразен с работите процеси или веригата от инструменти на вашия екип, моля свържете се с нас, за да уредим.

Този курс в България има за цел да помага в следните области:

1. Помага на разработчици да овладяват техниките на писане на сигурен код
2. Помага на софтуерни тестери да тестват сигурността на приложението преди публикуването в продукционната среда
3. Помага на софтуерни архитекти да разберат рисковете, свързани с приложенията
4. Помага на тим лидери да установят сигурностни базови линии за разработчиците
5. Помага на уебмайстери да конфигурират серверите, за да се избегнат грешни конфигурации

Този курс обхваща концепциите и принципите за защитено кодиране с Java чрез методологията на тестване на Open Web Application Security Project (OWASP). Open Web Application Security Project е онлайн общност, която създава свободно достъпни статии, методологии, документация, инструменти и технологии в областта на сигурността на уеб приложенията.

Този курс обхваща концепциите и принципите за защитено кодиране с ASP.net чрез Open Web Application Security Project (OWASP) методология за тестване, OWASP е онлайн общност, която създава свободно достъпни статии, методологии, документация, инструменти и технологии в областта на сигурността на уеб приложенията.

Този курс изследва функциите за сигурност на Dot Net Framework и как да защитите уеб приложенията.