Szkolenia Bezpieczeństwo

Bezpieczeństwo aplikacji warto zacząć od włączenia wymagań bezpieczeństwa do SDLC, modelowania zagrożeń i regularnej analizy kodu. Trzeba sprawdzić punkty wejścia do systemu, sposób uwierzytelniania, obsługę danych wrażliwych, zależności oraz mechanizmy wdrożeniowe w CI/CD. Przykładem jest połączenie przeglądów kodu, reguł SAST i testów dla API jeszcze przed wdrożeniem na środowisko produkcyjne.
Ten temat przerabiamy praktycznie na szkoleniu: Bezpieczeństwo aplikacji dla deweloperów.

Modelowanie zagrożeń to uporządkowana analiza architektury, przepływów danych i możliwych nadużyć, zwykle z użyciem metod takich jak STRIDE, DREAD albo CVSS. Należy przygotować diagram DFD lub model komponentów, wskazać granice zaufania, zasoby krytyczne i scenariusze ataku, a następnie przypisać priorytety do ryzyk. Przykładem jest analiza logowania, sesji użytkownika, komunikacji z bazą danych i integracji z zewnętrznym API.
Jeśli chcesz przećwiczyć to krok po kroku, zobacz: Praktyczne modelowanie zagrożeń w aplikacji.

Bezpieczna konfiguracja SSL/TLS oznacza poprawny dobór wersji protokołu, pakietów algorytmów, certyfikatów i ustawień uwierzytelniania dla konkretnej usługi. Warto zweryfikować obsługiwane wersje TLS, PFS, konfigurację HSTS, status certyfikatów przez OCSP lub CRL oraz odporność na downgrade i błędy wdrożeniowe. Przykładem jest porównanie ustawień serwera HTTPS z wymaganiami dla TLS 1.2 i TLS 1.3 oraz test narzędziami audytowymi.
Wersję warsztatową (z konfiguracją i przykładami) znajdziesz w programie szkolenia: Konfiguracja protokołu SSL i TLS.

Najczęstsze błędy bezpieczeństwa API obejmują broken authorization, IDOR, błędną obsługę JWT, nadmierne ujawnianie danych i niepoprawną konfigurację CORS. Trzeba sprawdzić kontrolę dostępu na poziomie obiektów i funkcji, walidację danych wejściowych, limity zapytań oraz sposób ochrony sesji i tokenów. Przykładem jest ręczna próba odczytu zasobu innego użytkownika przez zmianę identyfikatora w żądaniu i potwierdzenie wyniku w proxy HTTP.
To jedno z zagadnień omawianych podczas szkolenia: Bezpieczeństwo API.

Na początek warto wybrać narzędzia, które dają szybki wynik, pozwalają tworzyć własne reguły i dają się włączyć do IDE oraz pipeline’ów. Należy sprawdzić obsługiwane języki, jakość reguł, poziom false positive, możliwości analizy przepływu danych i format raportów dla zespołu. Przykładem jest użycie Semgrep do reguł projektowych i bezpieczeństwa, a następnie rozszerzenie procesu o dodatkowe skanery zależnie od stosu technologicznego.
Dokładnie ten zestaw narzędzi i workflow ćwiczymy podczas szkolenia: Wykrywanie błędów bezpieczeństwa z Semgrep.

Szkolenia z tej kategorii skierowane są do kilku grup, ponieważ bezpieczeństwo obejmuje zarówno kod, architekturę, infrastrukturę, jak i procesy organizacyjne. Programiści zwykle koncentrują się na podatnościach i bezpiecznym kodowaniu, administratorzy na tożsamości, logach i konfiguracji, a managerowie IT na ryzyku, wymaganiach i nadzorze nad wdrożeniami. Przykładem jest sytuacja, w której jeden zespół projektuje wymagania bezpieczeństwa, drugi wdraża kontrolę dostępu, a trzeci weryfikuje zgodność i raportuje ryzyka.
Ten temat przerabiamy praktycznie na szkoleniu: Definiowanie wymagań bezpieczeństwa.