Курс за обучение по Безопасно разработване на .NET (включително OWASP)

Изграждането на сигурно мрежово приложение може да бъде трудно, дори за разработчици, които вече са използвали различни криптични компоненти (като шифроване и дигитални подписи) в предишни проекти. За да осъзнаят ролята и начина на употреба на тези криптични примитиви, участниците първо ще получат здрава основа относно основните изисквания за сигурна комуникация – сигурно потвърждение, целостност, поверителност, отдалечена идентификация и анонимност, както и типичните проблеми, които могат да нарушат тези изисквания, придружени от реални решения.

Тъй като криптографията е критичен елемент на мрежовата сигурност, ще бъдат обсъдени най-важните алгоритми за симетрично шифроване, хеширане, асиметрична криптография и съгласуване на ключове. Вместо дълбок математически фон, тези елементи ще бъдат разглеждани от гледната точка на разработчика, като се представят типични примери за употреба и практически съображения, свързани с прилагането на криптография, като публична инфраструктура на ключове (PKI). Ще бъдат въведени протоколите за сигурност в много области на сигурната комуникация, с подробно обсъждане на най-често използваните фамилии протоколи, като IPSEC и SSL/TLS.

Ще бъдат обсъдени типичните криптографски уязвимости, свързани както със специфични криптоалгоритми, така и с криптопротоколи, като BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE и други, както и атака с времетраене на RSA. В всеки случай ще бъдат описани практическите последици и потенциалните последствия за всеки проблем, отново без задълбочаване в дълбоките математически детайли.

Накрая, тъй като XML технологията е централна за обмена на данни между мрежови приложения, ще бъдат описани аспекти на сигурността на XML. Това включва употребата на XML във веб услуги и SOAP съобщения заедно с мерки за защита като XML signature и XML encryption – както и слабостите в тези мерки за защита и специфични за XML проблеми с безопасността, като XML injection, атаки с външни ентитети на XML (XXE), бомби на XML и XPath injection.

Участниците, които посещават този курс, ще

• Разберат основните концепции за сигурност, киберсигурност и сигурно кодиране
• Разберат изискванията за сигурна комуникация
• Научат за мрежовите атаки и отбрана на различни слоеве OSI
• Имат практично разбиране за криптография
• Разберат съществените протоколи за сигурност
• Разберат някои от последните атаки срещу криптосистеми
• Получат информация за някои от последните свързани уязвимости
• Разберат концепциите за сигурност на веб услугите
• Получат източници и допълнителни четива за практики на сигурно кодиране

За кого е предназначен курсът

Разработчици, Професионалисти

Написването на защитен код на C и C++ изисква строга защита срещу злонамерена експлоатация, корупция на паметта и заобикаляне на валидацията на входни данни. Тази програма разглежда модели на уязвимости, включително преминаване на буфера, използване след освобождане, прекъсвания на целия брой и объркване на типовете. Участниците прилагат насоки за защитено програмиране, инструменти за статичен анализ и техники на защитено програмиране за отстраняване на слабости, налагане на филтриране на входни данни и предоставяне на укрепен софтуер, устойчив срещу кибератаки.

Дори опитни Java програмисти не владеят напълно разнообразните услуги за сигурност, предлагани от Java, и често не са наясно с различните уязвимости, които са от значение за уеб приложения, написани на Java.

Курсът – наред с представянето на компонентите за сигурност на Standard Java Edition – разглежда и въпроси, свързани със сигурността на Java Enterprise Edition (JEE) и уеб услугите. Обсъждането на специфични услуги се предхожда от основите на криптографията и сигурната комуникация. Различни упражнения се занимават с декларативни и програмни техники за сигурност в JEE, като същевременно се обсъжда сигурността на транспортния слой и end-to-end сигурността на уеб услугите. Използването на всички компоненти е представено чрез няколко практически упражнения, където участниците могат сами да изпробват обсъжданите API-та и инструменти.

Курсът също така преминава през и обяснява най-честите и сериозни програмни грешки на езика и платформата Java, както и уязвимости, свързани с уеб средата. Освен типичните грешки, допускани от Java програмистите, представените уязвимости в сигурността обхващат както специфични за езика проблеми, така и проблеми, произтичащи от средата за изпълнение. Всички уязвимости и свързаните с тях атаки се демонстрират чрез лесно разбираеми упражнения, последвани от препоръчителни насоки за програмиране и възможни техники за смекчаване на последиците.

Участниците в този курс ще:

• Разберат основни концепции за сигурност, ИТ сигурност и сигурно програмиране
• Научат уеб уязвимости отвъд OWASP Top Ten и как да ги избягват
• Разберат концепциите за сигурност на уеб услугите
• Се научат да използват различни функции за сигурност на средата за разработка на Java
• Придобият практически познания по криптография
• Разберат решенията за сигурност на Java EE
• Научат за типичните грешки при програмиране и как да ги избягват
• Получат информация за някои скорошни уязвимости в Java рамката
• Придобият практически познания за използване на инструменти за тестване на сигурността
• Получат източници и допълнителна литература за практики за сигурно програмиране

Аудитория

Разработчици

Днес са налични множество езици за програмиране за компилиране на код към .NET и ASP.NET рамки. Средата предоставя мощни средства за разработка на сигурност, но разработчиците трябва да знаят как да прилагат програмните техники на архитектурно и кодово ниво, за да внедрят желаната функционалност за сигурност и да избегнат уязвимости или да ограничат тяхното използване.

Целта на този курс е да научи разработчиците чрез множество практически упражнения как да предотвратяват непрепоръчителен код от извършване на привилегировани действия, да защитават ресурси чрез силна автентикация и авторизация, да осигуряват извиквания на отдалечени процедури, да управляват сесии, да въвеждат различни имплементации за определена функционалност и много повече.

Въвеждането на различни уязвимости започва с представяне на някои типични програмни проблеми, допускани при използване на .NET, докато обсъждането на уязвимостите на ASP.NET също така разглежда различни настройки на средата и техните ефекти. Накрая, темата за специфичните за ASP.NET уязвимости не само се занимава с някои общи предизвикателства пред сигурността на уеб приложенията, но и със специални проблеми и методи за атака като атакуване на ViewState или атаките за прекратяване на низ.

Участниците в този курс ще

• Разберат основни концепции за сигурност, ИТ сигурност и сигурно кодиране
• Научат уеб уязвимости извън OWASP Top Ten и ще знаят как да ги избягват
• Се научат да използват различни функции за сигурност на средата за разработка .NET
• Получат практически познания за използване на инструменти за тестване на сигурността
• Научат за типичните грешки при кодиране и как да ги избягват
• Получат информация за някои скорошни уязвимости в .NET и ASP.NET
• Получат източници и допълнителна литература за практики за сигурно кодиране

Аудитория

Разработчици

Курсът предоставя съществени умения за разработчици на PHP, необходими за направата на техните приложения устойчиви към съвременни атаки чрез интернет. Уязвимостите уеб приложения са обсъдени през примери базираны на PHP, надхвърляйки OWASP Top Ten и разглеждайки различни инжекционни атаки, скрипт инжекции, атаки срещу обработката на сесии в PHP, неосигурни директни обектни препратки, проблеми с качване на файлове и много други. Уязвимостите свързани с PHP са представени групирани според стандартните типове уязвимости: липсваща или неправилна проверка на входа, неправилно обработване на грешки и изключения, неправилно използване на защитни функции и проблеми, свързани с времето и състоянието. За последните разглеждаме атаки като заобикаляне на open_basedir, отказ на услуга чрез магия плаваща точка или атака с хеш колизия. Във всички случаи участниците ще се запознаят с най-важните техники и функции, които да използват за намаляване на изброените рискове.

Специално внимание е отделено на защитата от клиента, разглеждайки проблеми със сигурността на JavaScript, Ajax и HTML5. Представени са някои от разширенията за PHP свързани със сигурност като hash, mcrypt и OpenSSL за криптография, или Ctype, ext/filter и HTML Purifier за валидиране на вход. Най-добрите практики за подобряване на защитата се дават във връзка с конфигурацията на PHP (настройване на php.ini), Apache и сървъра като цяло. Накрая, участниките получават обзор на различни инструменти и техники за тестване на сигурност, които разработчиците и тестерите могат да използват, включително скенери за сигурност, тестове за проникване и експлоити, sniffer-и, прокси сървъри, инструменти за fuzzing и статични анализатори на изходен код.

Както въвеждането в уязвимостите, така и конфигурационните практики се подкрепят от множество практични упражнения, демонстриращи последствията от успешни атаки, показващи как да приложим защитните техники и въвеждайки използването на различни разширения и инструменти.

Участниците в този курс ще

• Разберат основните концепции за сигурност, информационна сигурност и защитено програмиране
• Научат уязвимости на уеб приложения отвъд OWASP Top Ten и ще знаят как да ги избегнат
• Научат уязвимости от страната на клиента и практики за защитено програмиране
• Имат практически разбиране за криптографията
• Научат се да използват различни защитни функции на PHP
• Разберат типичните грешки в програмирането и как да ги избегнат
• Бъдат информирани за последните уязвимости в рамката на PHP
• Научат практически знания за използване на инструменти за тестване на сигурност
• Получат източници и допълнително четене за практики по защитено програмиране

Целева аудитория

Разработчици

Комбинираното обучение за SDL Core дава представа за сигурен софтуерен дизайн, разработка и тестване чрез Microsoft Secure Development Lifecycle (SDL). То предоставя общ преглед на основните градивни елементи на SDL, последвани от дизайнерски техники за откриване и отстраняване на недостатъци в ранните етапи на процеса на разработка.

В частта за фазата на разработка, курсът прави преглед на типичните за сигурността програмни грешки както при управляван, така и при нативен код. Представени са методи за атака на обсъжданите уязвимости, заедно със свързаните с тях техники за смекчаване, като всичко е обяснено чрез редица практически упражнения, предоставящи забавление с хакване на живо за участниците. Въведението в различните методи за тестване на сигурността е последвано от демонстрация на ефективността на различни инструменти за тестване. Участниците могат да разберат работата на тези инструменти чрез практически упражнения, прилагайки ги върху вече обсъдения уязвим код.

Участниците в този курс ще

Разберат основните концепции за сигурност, ИТ сигурност и сигурно кодиране

Се запознаят с основните стъпки на Microsoft Secure Development Lifecycle

Научат практики за сигурен дизайн и разработка

Научат за принципите на сигурно внедряване

Разберат методологията за тестване на сигурността

• Получат източници и допълнителна литература за практики за сигурно кодиране

Аудитория

Разработчици, Мениджъри

В този курс, воден от инструктор на живо в България, участниците ще научат как да формулират подходящата стратегия за сигурност, за да се справят с предизвикателството пред сигурността в DevOps.

Този висококачествен, авангарден, практически уъркшоп потапя участниците в критичните реалности на сигурността на модерните CI/CD пъплайни. Създаден за специалисти по сигурност, DevOps инженери и разработчици, които искат да овладеят напредналата защита срещу пробиви в пъплайни, обучението съчетава симулации на атаки на живо с водещи в индустрията инструменти и практически защитни техники.

EC-Council сертифициран DevSecOps инженер (ECDE) е практически курс, създаден да осигури на професионалистите умения за вграждане на сигурност в целия жизнен цикъл на DevOps, като дава възможност за сигурна софтуерна разработка от планирането до внедряването.

Това обучение, водено от инструктор на живо (онлайн или на място), е насочено към софтуерни и DevOps професионалисти от средно ниво, които желаят да интегрират практики за сигурност в CI/CD конвейрите, осигурявайки сигурно и съответстващо на изискванията доставяне на код.

До края на това обучение участниците ще могат да:

• Разбират принципите и практиките на DevSecOps.
• Осигуряват сигурност на всеки етап от CI/CD конвейра чрез автоматизирани инструменти.
• Прилагат практики за сигурно кодиране и сканиране за уязвимости.
• Подготвят се за ECDE сертификацията чрез практически лабораторни упражнения и преговор.

Формат на курса

• Интерактивна лекция и дискусия.
• Практическо използване на DevSecOps инструменти в симулирани конвейри.
• Насочвани упражнения, фокусирани върху сигурна разработка и внедряване.

Опции за персонализиране на курса

• За да заявите персонализирано обучение за този курс, съобразено с работните процеси или веригата от инструменти на вашия екип, моля, свържете се с нас за уреждане.

Базирано на най-новите насоки на OWASP GenAI Security Project, участниците ще научат как да идентифицират, оценяват и смекчават заплахи, специфични за AI, чрез практически упражнения и реални сценарии.

Това обучение с инструктор на живо в България (онлайн или на място) е насочено към уеб разработчици и ръководители, които желаят да проучат и внедрят референтния стандарт OWASP Топ 10, за да защитят своите уеб приложения.

До края на това обучение участниците ще могат да изготвят стратегия, да внедряват, защитават и наблюдават своите уеб приложения и услуги, използвайки документа OWASP Топ 10.

Това обучение, водено от инструктор наживо в България (онлайн или на място), е насочено към разработчици, инженери и архитекти, които желаят да приложат рамката, принципите и техниките за тестване на WSTG, за да защитят своите уеб приложения и услуги.

До края на това обучение участниците ще могат да:

• Използват WSTG, за да внедрят процеси и техники за тестване в жизнения цикъл на уеб разработката.
• Изследват различни техники за тестване, за да адаптират рамката WSTG спрямо бизнес нуждите.
• Извършват разнообразни методи за тестване на сигурността, за да предпазят уеб приложенията от рискове и атаки.
• Създават доклад за оценка, за да документират констатациите и резултатите от тестването на сигурността.

Този курс в България цели да помогне в следното:

1. Да помогне на разработчиците да овладеят техниките за писане на сигурен код
2. Да помогне на софтуерните тестери да тестват сигурността на приложението преди публикуване в продукционната среда
3. Да помогне на софтуерните архитекти да разберат рисковете, свързани с приложенията
4. Да помогне на ръководителите на екипи да определят базовите изисквания за сигурност за разработчиците
5. Да помогне на уеб администраторите да конфигурират сървърите, за да избегнат грешни конфигурации

Този курс обхваща концепциите и принципите на сигурното програмиране с Java чрез методологията за тестване на Open Web Application Security Project (OWASP). Open Web Application Security Project е онлайн общност, която създава свободно достъпни статии, методологии, документация, инструменти и технологии в областта на сигурността на уеб приложенията.