Testy bezpieczeństwa nowoczesnych aplikacji internetowych

LICZBA DNI: 3 (24h)

KOD KURSU: SEC/WEB

POZIOM SZKOLENIA:

# owasp

Szkolenie na zamówienie

Szkolenie dostosowane do potrzeb Twojego zespołu. Dostępne WYŁĄCZNIE na zamówienie.

  • Dostosowany program
  • Indywidualna wycena
  • Dowolny termin

Interesuje Cię ta tematyka i szukasz szkolenia tylko dla siebie?

O szkoleniu

DLA KOGO?

Szkolenie jest kierowane do testerów, programistów, administratorów aplikacji, audytorów oraz fascynatów bezpieczeństwa pragnących zdobyć całościową wiedzę z zakresu prowadzenia testów penetracyjnych oraz wykorzystania jej do weryfikacji bezpieczeństwa złożonych systemów informatycznych

WYMAGANIA

Od uczestników wymagane jest doświadczenie w pracy z aplikacjami internetowymi - najlepiej jako programista lub wdrożeniowiec albo doświadczenie z dziedziny bezpieczeństwa takich rozwiązań

Znajomość podstaw Java oraz .NET a także podstaw administracji w systemach Windows i Linux pozwoli bezboleśnie przejść przez wszystkie laboratoria

ZALETY

Mocną stroną szkolenia są przykłady dla aplikacji .NET (stack Microsoft) i Java (stack Oracle i open source) - z dziedziny bankowości oraz aplikacje mobilne Android i iOS

Uczestnicy wykonują zadania związane z projektem testów penetracyjnych na laboratorium w formie zwirtualizowanego środowiska symulującego typowej problemy złożonej infrastruktury

Cele szkolenia

Przekazanie wiedzy, która uczyni z uczestnika nie tylko weryfikatora bezpieczeństwa na podstawie baz wiedzy i gotowych exploitów ale da podstawy do zostania researcherem bezpieczeństwa zdolnym do pracy z nieznanymi aplikacjami i protokołami oraz wyszukiwania nowych podatności w nich

Program

  • Różnica między testem penetracyjnym a audytem
  • Metodyki prowadzenia testów penetracyjnych
  • Typy testów: whitebox, blackbox, greybox
  • Fazy testów penetracyjnych
  • Szacowanie zagrożeń, modelowanie zagrożeń i drzewa ataku
  • Zakres testu
  • Projekty R&D
  • Checklisty w testach penetracyjnych, standardy kodowania: CIS, CERT
  • Klasyfikacja podatności według OWASP i CWE
  • Co to jest CVE? - otwarte i zamknięte bazy podatności
  • Sniffery
  • Narzędzia aktywne
  • Narzędzia pasywne
  • Weryfikacja konfiguracji
  • Wykorzystanie: Foca, MassDNS, subfinder, dirsearch, dirb
  • Google dorks
  • Shodan
  • Użycie baz FuzzDB i Directory List
  • SQL Injection
  • Różne ataki typu Injection (XPath, XML, Command, Script, LDAP)
  • Deserializacja w Javie
  • Wstrzykiwanie kodu przez JSON w usługach REST
  • Mass assignment
  • Ataki na usługi REST JAX-RS
  • XSS
  • CSRF
  • Bezpośredni dostęp do danych i obiektów (IDOR)
  • Path Traversal
  • XXE
  • Spring EL Injection, ataki na Spring Framework
  • Command Injection (Shellshock)
  • Zarządzanie sesją
  • Typowe problemy z rejestracją użytkowników i odzyskiwaniem hasła
  • Podatności w JWT
  • Wykorzystanie Burp Suite, OWASP ZAP
  • Wykorzystanie Nessus, Nexpose, Burp Suite Scan, Skipfish, Arachni, OpenVAS
  • Narzędzia zapewniające bezpieczeństwo w trakcie developmentu: OWASP Dependency Check, Retire.js, Find-Sec-Bugs, PMD
  • Wykorzystanie Metasploit
  • Wykorzystanie ZAP i Mozilla ZEST
  • Integracja OWASP ZAP z Jenkins
  • Wykrywanie dziurawych komponentów z OWASP Dependency Check w CI
  • XXE
  • SOAP
  • XSLT
  • BPEL
  • Weryfikacja poprawnej konfiguracji SSL
  • Man-in-the-middle
  • Słabości w implementacji kryptografii
  • Ataki na logikę aplikacji: ReDOS, XML Bomb, Flood
  • Specyficzne zagadnienia dla cloud: AWS
  • Wykorzystanie cloud w testach: DoS, DDoS
  • Budowanie bazy wiedzy i bazy ataków
  • Dradis Framework, Faraday IDE, Magic Tree
  • Co powinien zawierać dobry raport z testów penetracyjnych?
  • Jak formułować zalecenia i obejścia?
  • Jak bezpiecznie dostarczyć raport do klienta?
  • Jak opisać podatność i uzyskać CVE?
  • Formalności w pracy z klientem
  • Zarządzanie zakresem
  • Networking
  • Wizytówka

Autor szkolenia:

Sebastian Chmielewski

Expert QA z ponad 12 letnim doświadczeniem, ze specjalizacją w technicznej stronie testowania: testach automatycznych, testach wydajności a ostatnio w testach penetracyjnych i zapewnieniu bezpieczeństwa (jako, że testowanie bezpieczeństwa to po prostu bardzo dokładne testowanie oprogramowania). Zainteresowania to literatura postapokaliptyczna, idolem jest McGyver i Robinson Cruzoe a wolny czas spędzam z rodziną, często ogladając z synami dema dla Commodore 64 ;)

POLITYKA COOKIES:

Korzystamy z plików cookies, by móc jak najlepiej dostosować stronę do Twoich potrzeb oraz wyświetlać Ci przydatne i adekwatnych dla Ciebie reklamy w serwisie i poza nim. Możesz kontrolować ustawienia ciasteczek w swoich ustawieniach swojej przeglądarki. Odwiedzając tę stronę, wyrażasz zgodę na wykorzystywanie przez nas plików cookies.