Bezpečné vývojáře .NET (včetně OWASP) Počítačový Kurz

Vývoj zabezpečené síťové aplikace může být náročný, a to i pro vývojáře, kteří dříve používali různé kryptografické stavební kameny (například šifrování a digitální podpisy). Aby účastníci pochopili roli a využití těchto kryptografických primitiv, je nejprve poskytnut pevný základ hlavních požadavků na zabezpečenou komunikaci – tedy bezpečné uznání přijetí zprávy, integrita, důvěrnost, vzdálená identifikace a anonymita – a zároveň jsou prezentovány typické problémy, které tyto požadavky mohou ohrozit, spolu s reálnými řešeními.

Pokud je kryptografie kritickým aspektem bezpečnosti sítě, jsou zde také probírány nejdůležitější kryptografické algoritmy v symetrické kryptografii, hashování, asymetrické kryptografii a dohodě o klíčích. Místo hlubokého matematického pozadí jsou tyto prvky probírány z pohledu vývojáře, přičemž jsou ukázány typické příklady použití a praktická hlediska související s použitím kryptografie, jako je veřejná infrastruktura klíčů (PKI). Jsou představeny bezpečnostní protokoly v mnoha oblastech zabezpečené komunikace, s podrobným probíráním nejrozšířenějších rodin protokolů, jako jsou IPSEC a SSL/TLS.

Jsou probírány typické zranitelnosti kryptografie, jak v souvislosti s určitými kryptografickými algoritmy, tak s kryptografickými protokoly, jako jsou BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE a podobné, stejně jako útok na čas RSA. V každém případě jsou popsána praktická hlediska a potenciální důsledky pro každý problém, opět bez toho, aby bylo třeba zacházet do hlubokých matematických podrobností.

Na závěr, protože technologie XML je centrální pro výměnu dat síťovými aplikacemi, jsou popsány bezpečnostní aspekty XML. To zahrnuje využívání XML v rámci webových služeb a zpráv SOAP spolu s ochrannými opatřeními, jako je podpis XML a šifrování XML – a také slabá místa těchto ochranných opatření a specifické bezpečnostní problémy XML, jako je vstřikování XML, útoky na externí entity XML (XXE), bombardední útoky na XML a vstřikování XPath.

Účastníci tohoto kurzu

• pochopí základní koncepty bezpečnosti, kybernetické bezpečnosti a bezpečného programování
• pochopí požadavky na zabezpečenou komunikaci
• seznámí se s útoky a obranami v sítích na různých vrstvách OSI model
• Získají praktické porozumění kryptografii
• pochopí základní bezpečnostní protokoly
• pochopí některé nedávné útoky proti kryptosystémům
• Získají informace o některých nedávných souvisejících zranitelnostech
• pochopí bezpečnostní koncepty webových služeb
• získají zdroje a další doporučenou literaturu týkající se praktik bezpečného kódování

Cílová skupina

Vývojáři, Profesionálové

K psaní bezpečného kódu v jazycích C a C++ je zapotřebí důsledná ochrana před zneužitím útočníky, poškozením paměti a obejitím validace vstupů. Tento kurz se zabývá vzory zranitelností, jako jsou přetečení bufferu, použití po uvolnění paměti (use-after-free), přetečení celých čísel (integer overflows) a záměna typů. Účastníci aplikují bezpečné programovací normy, nástroje statické analýzy a techniky obranného programování k odstranění slabých míst, vynucení čistoty vstupů a poskytnutí odolného softwaru odolného proti kybernetickým útokům.

Ani zkušení programátoři v Javě neovládají plně různé bezpečnostní služby, které tato platforma nabízí, a často si nejsou vědomi i různých typů zranitelností u webových aplikací vytvořených v Javě.

Tento kurz kromě představení bezpečnostních komponent standardní edice Javy se věnuje také problematice zabezpečení v rámci Javy Enterprise Edition (JEE) a webových služeb. Před rozebráním konkrétních služeb je proveden úvod do kryptografie a bezpečné komunikace. Různá cvičení ukazují jak deklarativní, tak i programové techniky zabezpečení v prostředí JEE; řeší se rovněž zabezpečení webových služeb na úrovni transportní vrstvy i celkově. Praktické využití všech komponent je demonstrováno několika cvičeními, během nichž si účastníci mohou jednotlivé API a nástroje vyzkoušet sami.

Kurz rovněž popisuje nejčastější a nezávažnější programátorské chyby v Javě a jejím prostředí, stejně jako webové zranitelnosti. Mimo typických chyb spáchaných vývojáři jsou probírány i specifické problémy jazyka a problematika vyplývající ze samotného provozního prostředí. Veškeré zranitelnosti a související útoky jsou ukázány na srozumitelných příkladech; následně jsou uvedeny doporučené postupy programování a možné strategie řešení.

Účastníci tohoto kurzu se dozvědí

• Základní koncepty bezpečnosti, IT zabezpečení a bezpečného programování
• Webové zranitelnosti přesahující rámec OWASP Top Ten – jak se jim vyhnout
• Zásady zabezpečení webových služeb
• Použití různých bezpečnostních funkcí vývojářského prostředí Javy
• Uvědomění si základů kryptografie
• Funkce zabezpečení v rámci Java EE
• Typické chyby při programování a způsoby, jak se jim vyhnout
• Informace o nedávných zranitelnostech v frameworku Javy
• Praktické znalosti týkající se používání nástrojů na testování bezpečnosti
• Zdroje a literatura související s principy bezpečného programování

Cílová skupina

Vývojáři

Dnes existuje celá řada programovacích jazyků, pomocí kterých lze psát kód určený pro frameworky .NET a ASP.NET. Toto prostředí nabízí výkonné nástroje pro bezpečný vývoj, avšak vývojáři musí vědět, jak vhodně použít architektonické i kódové techniky k implementaci požadovaných bezpečnostních funkcí a zároveň předcházet vzniku slabin nebo omezit možnosti jejich zneužití.

Cílem tohoto kurzu je naučit vývojáře prostřednictvím mnoha praktických cvičení, jak zabránit nedůvěryhodnému kódu v provádění privilegovaných operací, jak chránit systémové prostředky pomocí silné autentizace a autorizace, jak realizovat vzdálené volání procedur, správu relací či různé varianty implementace určitých funkcí.

Seznámení s různými typy zranitelností začíná popisem běžných chyb při programování v .NET, zatímco rozbor slabin v ASP.NET se týká také konfigurace prostředí a jejích dopadů. Speciální kapitola o zranitelnostech specifických pro ASP.NET pojednává nejen o obecných problémech bezpečnosti webových aplikací, ale i o konkrétních metodách útoků, jako jsou např. útoky na ViewState či exploity využívající ukončení řetězců.

Účastníci kurzu se naučí

• Porozumět základním konceptům bezpečnosti, IT bezpečnosti a bezpečného programování
• Poznat webové slabiny přesahující rámec OWASP Top Ten a způsoby jejich prevence
• Využívat různé bezpečnostní funkce vývojového prostředí .NET
• Nabýt praktických zkušeností s používáním nástrojů pro testování bezpečnosti
• Vědět, jaké jsou běžné chyby při programování a jak se jim vyhnout
• Obdržet informace o nedávných zranitelnostech v .NET a ASP.NET
• Získat doporučené zdroje a literaturu týkající se bezpečného kódování

Komu je kurz určen

Vývojářům

Kurz poskytuje nezbytné dovednosti pro vývojáře v PHP, které jsou klíčové k tomu, aby jejich aplikace odolávaly současným útokům probíhajícím přes Internet. Problémy bezpečnosti webu jsou diskutovány prostřednictvím příkladů založených na PHP, které přesahují rámec OWASP Top Ten a zabývají se různými typy injekčních útoků, skriptovými injekcemi, útoky proti zpracování session v PHP, nesprávným přímým odkazům na objekty, problémy s nahráváním souborů a mnoha dalšími. Zranitelnosti spojené s PHP jsou prezentovány uskupené podle standardních typů chyb: chybějící nebo nevhodná validace vstupu, nesprávné zpracování chyb a výjimek, nesprávné použití bezpečnostních funkcí a problémy související s časem a stavem aplikace. U této poslední skupiny diskutujeme o útocích, jako je obejití direktivy open_basedir, útok na odmítnutí služby prostřednictvím magického floatu nebo útok založený na kolizi hash tabulek. V každém případě se účastníci seznámí s nejdůležitějšími technikami a funkcemi, které je třeba použít k zmírnění výše uvedených rizik.

Zvláštní důraz je kláděn na bezpečnost na straně klienta, která řeší bezpečnostní problémy JavaScriptu, Ajaxu a HTML5. Představujeme řadu rozšíření PHP souvisejících se zabezpečením, jako jsou hash, mcrypt a OpenSSL pro kryptografii, nebo Ctype, ext/filter a HTML Purifier pro validaci vstupu. Nejlepší praktiky tvrdnutí systému (hardening) jsou představeny v souvislosti s konfigurací PHP (nastavení php.ini), Apache a serverem obecně. Nakonec je uveden přehled různých nástrojů a technik pro testování bezpečnosti, které mohou vývojáři a testovači používat, včetně bezpečnostních skenerů, penetračních testů, sad exploitů, sniffrů, proxy serverů, nástrojů pro fuzzing a statických analyzátorů zdrojového kódu.

Jak představení zranitelností, tak i postupy konfigurace jsou podpořeny řadou praktických cvičení, která demonstrují důsledky úspěšných útoků, ukazují, jak aplikovat techniky zmírnění a zavádějí používání různých rozšíření a nástrojů.

Účastníci absolventi tohoto kurzu budou

• Chápat základní pojmy bezpečnosti, kybernetické bezpečnosti a bezpečného kódování
• Seznámit se s zranitelnostmi webu přesahujícími OWASP Top Ten a vědět, jak se jim vyhnout
• Poznat zranitelnosti na straně klienta a praktiky bezpečného kódování
• Mít praktické pochopení kryptografie
• Vědět, jak používat různé bezpečnostní funkce PHP
• Poznat typické chyby v kódování a jak se jim vyhnout
• Být informováni o nedávných zranitelnostech rámce PHP
• Získat praktické znalosti při používání nástrojů pro testování bezpečnosti
• Získat zdroje a doporučenou literaturu na téma bezpečného kódování

Cílová skupina

Vývojáři

Tento základní kurz o modelu Microsoft Secure Development Lifecycle (SDL) poskytuje přehled o bezpečném navrhování, vývoji a testování softwaru. Seznamují se v něm účastníci s hlavními základy SDL, jakož i s technikami umožňujícími identifikovat a napravit chyby již v raných fázích vývoje.

V části věnované samotnému procesu vývoje kurz rozebírá typické programátorské chyby ovlivňující bezpečnost, a to jak u spravovaného, tak i nativního kódu. Pro každou zmíněnou zranitelnost jsou popsány metody útoku a odpovídající opatření proti nim – vše doplněno praktickými cvičeními, která účastníkům přinesou hmatatelné zkušenosti. Dále se kurz věnuje různým metodám testování bezpečnosti a jejich nástrojům; prostřednictvím praktických ukázek si účastníci vyzkouší tyto nástroje na již probraném zranitelném kódu.

Na konci tohoto kurzu budou účastníci schopni

Pochopit základní pojmy týkající se bezpečnosti, IT bezpečnosti a bezpečného programování

Seznámit se s hlavními kroky modelu Microsoft Secure Development Lifecycle

Naučit se postupy pro bezpečný návrh a vývoj softwaru

Pochopit principy bezpečné implementace

Porozumět metodologiím testování bezpečnosti

• Získat zdroje a doporučenou literaturu týkající se bezpečného programování /li>

Cílová skupina

Vývojáři, manažeři

V tomto praktickém kurzu pod vedením lektora v České republice se účastníci naučí, jak sestavit efektivní strategii pro zajištění bezpečnosti při řešení výzev spojených s prostředím DevOps.

Tento prvotřídní, špičkový a prakticky zaměřený workshop umožňuje účastníkům plně se seznámit s klíčovými aspekty zabezpečení moderních CI/CD procesů. Určen je především pro odborníky na bezpečnost, inženýry DevOps a vývojáře, kteří chtějí ovládnout pokročilé techniky ochrany svých systémů. Výcvik využívá simulace reálných útoků spolu s špičkovými nástroji a praktickými postupy na obranu.

Certifikovaný inženýr DevSecOps podle EC-Council (ECDE) je praktický kurz, který připravuje odborníky na začlenění bezpečnostních opatření do celého životního cyklu DevOps. Cílem je umožnit vytváření bezpečného softwaru již od fáze plánování až po nasazení.

Jedná se o výcvik pod vedením instruktora, probíhající online nebo na místě, určený pro software a DevOps specialisty středně pokročilé úrovně, kteří chtějí integrovat bezpečnostní postupy do CI/CD kanálů a zajišťovat tak předávání kódu v souladu s požadavky na bezpečnost a legislativu.

Po absolvování tohoto kurzu budou účastníci schopni:

• Pochopit základní principy a postupy DevSecOps.
• Zabezpečit každou fázi CI/CD kanálů pomocí automatizovaných nástrojů.
• Aplikovat bezpečné kódovací postupy a provádět skenování zranitelností.
• Připravit se na certifikaci ECDE prostřednictvím praktických cvičení a opakování.

Forma kurzu

• Interaktivní přednášky a diskuze.
• Praktické využití nástrojů DevSecOps v simulovaných kanálech.
• Cílená cvičení zaměřená na bezpečný vývoj a nasazování softwaru.

Možnosti přizpůsobení kurzu

• Pokud si přejete vytvořit kurz šité na míru vašemu týmu a jeho konkrétním pracovním postupům či nástrojům, kontaktujte nás pro domluvení detailů.

Na základě nejnovějších pokynů projektu OWASP GenAI Security se účastníci naučí identifikovat, hodnotit a zmírňovat hrozby specifické pro AI prostřednictvím praktických cvičení a reálných scénářů.

Toto školení pod vedením lektora, které se koná <na místě> (online nebo prezenčně), je určeno vývojářům webových aplikací a vedoucím pracovníkům, kteří si přejí prozkoumat a implementovat standard OWASP Top 10 za účelem zabezpečení svých webových aplikací.

Po absolvování tohoto kurzu budou účastníci schopni vypracovat strategie, implementovat opatření, zajistit bezpečnost a monitorovat své webové aplikace i služby na základě dokumentu OWASP Top 10.

Toto školení vedené instruktorem České republice (online nebo na místě) je určeno vývojářům, inženýrům a architektům, kteří chtějí využít rámec WSTG, jeho zásady a metody k ochraně svých webových aplikací a služeb.

Po absolvování tohoto kurzu budou účastníci schopni:

• Používat WSTG při zavádění testovacích procesů do životního cyklu vývoje webových aplikací.
• Objevovat různé techniky testování, jež umožní přizpůsobení WSTG dle konkrétních obchodních potřeb.
• Provádět různé metody testování bezpečnosti s cílem chránit webové aplikace před riziky a útoky.
• Sestavovat hodnotící zprávy, v nichž zdokumentují výsledky testů bezpečnosti.

Ten kurz v České republice má za cíl pomoci v následujících oblastech:

1. Pomáhá vývojářům ovládnout techniky psaní bezpečného kódu
2. Pomáhá softwarovým testerům prověřit bezpečnost aplikace před jejím nasazením do produkčního prostředí
3. Pomáhá softwarovým architektům pochopit rizika spojená s jednotlivými aplikacemi
4. Pomáhá vedoucím týmů stanovit bezpečnostní standardy pro vývojáře
5. Pomáhá webovým administrátorům konfigurovat servery tak, aby se předcházelo chybám v nastavení

Tento kurz se zabývá koncepty a principy bezpečného programování v jazyce Java s využitím metodik testování definovaných organizací Open Web Application Security Project (OWASP). Jedná se o online komunitu, která poskytuje veřejně dostupné články, metodiky, dokumentaci, nástroje a technologie v oblasti bezpečnosti webových aplikací.