Certyfikowany Praktyk Bezpieczeństwa Systemów - Plan Szkolenia

Wdrożenie bezpiecznej aplikacji sieciowej może być trudne, nawet dla programistów, którzy wcześniej mogli korzystać z różnych elementów kryptograficznych (takich jak szyfrowanie i podpisy cyfrowe). Aby uczestnicy zrozumieli rolę i zastosowanie tych podstawowych elementów kryptograficznych, najpierw przedstawione zostaną solidne podstawy głównych wymagań dotyczących bezpiecznej komunikacji – bezpieczne potwierdzenie, integralność, poufność, zdalna identyfikacja i anonimowość – wraz z typowymi problemami, które mogą naruszyć te wymagania, oraz praktycznymi rozwiązaniami.

Ponieważ kluczowym aspektem bezpieczeństwa sieciowego jest kryptografia, omówione zostaną również najważniejsze algorytmy kryptograficzne w kryptografii symetrycznej, funkcje skrótu, kryptografia asymetryczna oraz uzgadnianie kluczy. Zamiast szczegółowego tła matematycznego, elementy te omawiane są z perspektywy programisty, przedstawiając typowe przykłady zastosowań i praktyczne aspekty związane z użyciem kryptografii, takie jak infrastruktura kluczy publicznych. Wprowadzone zostaną protokoły bezpieczeństwa w wielu obszarach bezpiecznej komunikacji, z dogłębną dyskusją na temat najczęściej używanych rodzin protokołów, takich jak IPSEC i SSL/TLS.

Typowe luki kryptograficzne omawiane są zarówno w odniesieniu do określonych algorytmów kryptograficznych, jak i protokołów, takich jak BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE i podobne, a także atak czasowy RSA. W każdym przypadku opisane są praktyczne aspekty i potencjalne konsekwencje każdego problemu, ponownie bez wchodzenia w szczegóły matematyczne.

Wreszcie, ponieważ technologia XML jest kluczowa dla wymiany danych w aplikacjach sieciowych, opisane zostaną aspekty bezpieczeństwa XML. Obejmuje to użycie XML w usługach sieciowych i komunikatach SOAP wraz z środkami ochrony, takimi jak podpis XML i szyfrowanie XML, a także słabości tych środków ochrony oraz specyficzne problemy bezpieczeństwa XML, takie jak iniekcja XML, ataki na zewnętrzne jednostki XML (XXE), bomby XML i iniekcja XPath.

Uczestnicy tego kursu

• Zrozumieją podstawowe pojęcia bezpieczeństwa, bezpieczeństwa IT i bezpiecznego kodowania
• Zrozumieją wymagania dotyczące bezpiecznej komunikacji
• Poznają ataki sieciowe i mechanizmy obronne na różnych warstwach OSI
• Zdobędą praktyczną wiedzę na temat kryptografii
• Zrozumieją kluczowe protokoły bezpieczeństwa
• Zrozumieją niektóre ostatnie ataki na systemy kryptograficzne
• Otrzymają informacje na temat ostatnich powiązanych luk
• Zrozumieją koncepcje bezpieczeństwa usług sieciowych
• Otrzymają źródła i dalsze lektury na temat praktyk bezpiecznego kodowania

Grupa docelowa

Programiści, profesjonaliści

Ten trzydniowy kurs obejmuje podstawy zabezpieczania kodu C/C++ przed złośliwymi użytkownikami, którzy mogą wykorzystać wiele luk w kodzie związanych z zarządzaniem pamięcią i obsługą danych wejściowych. Kurs przedstawia zasady pisania bezpiecznego kodu.

Nawet doświadczeni programiści Java nie zawsze w pełni opanowują różne usługi bezpieczeństwa oferowane przez Javę i nie są świadomi różnych luk w zabezpieczeniach, które są istotne dla aplikacji internetowych pisanych w Javie.

Kurs – oprócz wprowadzenia do komponentów bezpieczeństwa Standardowej Edycji Java – zajmuje się problemami bezpieczeństwa Java Enterprise Edition (JEE) i usług internetowych. Omówienie konkretnych usług poprzedzone jest podstawami kryptografii i bezpiecznej komunikacji. Różnorodne ćwiczenia dotyczą technik bezpieczeństwa deklaratywnego i programistycznego w JEE, a także bezpieczeństwa warstwy transportowej i end-to-end usług internetowych. Wykorzystanie wszystkich komponentów jest prezentowane poprzez kilka praktycznych ćwiczeń, w których uczestnicy mogą samodzielnie wypróbować omawiane API i narzędzia.

Kurs omawia również i wyjaśnia najczęstsze i najpoważniejsze błędy programistyczne języka Java i platformy oraz luki związane z aplikacjami internetowymi. Oprócz typowych błędów popełnianych przez programistów Java, wprowadzone luki w zabezpieczeniach obejmują zarówno problemy specyficzne dla języka, jak i problemy wynikające ze środowiska uruchomieniowego. Wszystkie luki i odpowiednie ataki są demonstrowane poprzez łatwe do zrozumienia ćwiczenia, po których następują zalecane wytyczne dotyczące kodowania i możliwe techniki łagodzenia.

Uczestnicy tego kursu

• Zrozumieją podstawowe koncepcje bezpieczeństwa, bezpieczeństwa IT i bezpiecznego kodowania
• Poznają luki w zabezpieczeniach internetowych wykraczające poza OWASP Top Ten i dowiedzą się, jak ich unikać
• Zrozumieją koncepcje bezpieczeństwa usług internetowych
• Nauczą się korzystać z różnych funkcji bezpieczeństwa środowiska programistycznego Java
• Zdobędą praktyczną wiedzę na temat kryptografii
• Zrozumieją rozwiązania bezpieczeństwa Java EE
• Poznają typowe błędy kodowania i dowiedzą się, jak ich unikać
• Otrzymają informacje o najnowszych lukach w zabezpieczeniach frameworka Java
• Zdobędą praktyczną wiedzę na temat korzystania z narzędzi do testowania bezpieczeństwa
• Otrzymają źródła i dalsze lektury na temat praktyk bezpiecznego kodowania

Grupa docelowa

Programiści

Opis

Język Java i środowisko uruchomieniowe (JRE) zostały zaprojektowane tak, aby uniknąć najbardziej problematycznych typowych luk w zabezpieczeniach, które występują w innych językach, takich jak C/C++. Jednak programiści i architekci oprogramowania powinni nie tylko wiedzieć, jak korzystać z różnych funkcji bezpieczeństwa środowiska Java (bezpieczeństwo pozytywne), ale także być świadomi licznych luk w zabezpieczeniach, które nadal są istotne w przypadku programowania w Javie (bezpieczeństwo negatywne).

Wprowadzenie do usług bezpieczeństwa poprzedzone jest krótkim przeglądem podstaw kryptografii, co zapewnia wspólną podstawę do zrozumienia celu i działania odpowiednich komponentów. Użycie tych komponentów jest prezentowane poprzez kilka praktycznych ćwiczeń, w których uczestnicy mogą samodzielnie wypróbować omówione interfejsy API.

Kurs omawia również i wyjaśnia najczęstsze i najpoważniejsze błędy programistyczne w języku Java i platformie, obejmując zarówno typowe błędy popełniane przez programistów Java, jak i problemy specyficzne dla języka i środowiska. Wszystkie luki w zabezpieczeniach i związane z nimi ataki są demonstrowane poprzez łatwe do zrozumienia ćwiczenia, po których następują zalecane wytyczne dotyczące kodowania oraz możliwe techniki łagodzenia skutków.

Uczestnicy tego kursu

• Zrozumieją podstawowe pojęcia związane z bezpieczeństwem, bezpieczeństwem IT i bezpiecznym kodowaniem
• Poznają luki w zabezpieczeniach internetowych wykraczające poza OWASP Top Ten i dowiedzą się, jak ich unikać
• Nauczą się korzystać z różnych funkcji bezpieczeństwa środowiska programistycznego Java
• Zdobyją praktyczną wiedzę na temat kryptografii
• Poznają typowe błędy w kodowaniu i dowiedzą się, jak ich unikać
• Otrzymają informacje o niektórych najnowszych lukach w zabezpieczeniach w frameworku Java
• Otrzymają źródła i dalsze materiały do czytania na temat praktyk bezpiecznego kodowania

Grupa docelowa

Programiści

Obecnie dostępnych jest wiele języków programowania, które pozwalają na kompilację kodu do frameworków .NET i ASP.NET. Środowisko to oferuje potężne narzędzia do rozwoju bezpieczeństwa, ale programiści muszą wiedzieć, jak zastosować techniki programowania na poziomie architektury i kodu, aby zaimplementować pożądaną funkcjonalność bezpieczeństwa oraz uniknąć luk w zabezpieczeniach lub ograniczyć ich wykorzystanie.

Celem tego kursu jest nauczenie programistów poprzez liczne ćwiczenia praktyczne, jak zapobiegać wykonywaniu uprzywilejowanych działań przez niezaufany kod, chronić zasoby poprzez silne uwierzytelnianie i autoryzację, zapewniać zdalne wywołania procedur, zarządzać sesjami, wprowadzać różne implementacje dla określonych funkcjonalności i wiele więcej.

Wprowadzenie do różnych luk w zabezpieczeniach rozpoczyna się od przedstawienia typowych problemów programistycznych popełnianych podczas korzystania z .NET, podczas gdy omówienie luk w zabezpieczeniach ASP.NET dotyczy również różnych ustawień środowiska i ich efektów. Wreszcie, temat specyficznych luk w zabezpieczeniach ASP.NET dotyczy nie tylko ogólnych wyzwań związanych z bezpieczeństwem aplikacji webowych, ale także specjalnych problemów i metod ataków, takich jak ataki na ViewState czy ataki na zakończenie ciągów.

Uczestnicy tego kursu

• Zrozumieją podstawowe koncepcje bezpieczeństwa, bezpieczeństwa IT i bezpiecznego kodowania
• Poznają luki w zabezpieczeniach webowych wykraczające poza OWASP Top Ten i dowiedzą się, jak ich unikać
• Nauczą się korzystać z różnych funkcji bezpieczeństwa środowiska programistycznego .NET
• Zdobędą praktyczną wiedzę w zakresie korzystania z narzędzi testowania bezpieczeństwa
• Poznają typowe błędy programistyczne i dowiedzą się, jak ich unikać
• Otrzymają informacje o niektórych najnowszych lukach w zabezpieczeniach .NET i ASP.NET
• Otrzymają źródła i dalsze lektury na temat praktyk bezpiecznego kodowania

Grupa docelowa

Programiści

Kurs zapewnia niezbędne umiejętności dla programistów PHP, konieczne do zabezpieczenia ich aplikacji przed współczesnymi atakami przez Internet. Luki w zabezpieczeniach stron internetowych są omawiane na przykładach opartych na PHP, wykraczających poza listę OWASP Top Ten, obejmując różne ataki iniekcji, iniekcje skryptów, ataki na mechanizmy sesji w PHP, niebezpieczne bezpośrednie odwołania do obiektów, problemy z przesyłaniem plików oraz wiele innych. Luki związane z PHP są wprowadzone w grupach według standardowych typów luk, takich jak brak lub niewłaściwa walidacja danych wejściowych, nieprawidłowa obsługa błędów i wyjątków, niewłaściwe użycie funkcji zabezpieczeń oraz problemy związane z czasem i stanem. W przypadku tych ostatnich omawiamy ataki takie jak obejście open_basedir, ataki typu denial-of-service poprzez magic float czy ataki kolizji tablicy haszującej. We wszystkich przypadkach uczestnicy zapoznają się z najważniejszymi technikami i funkcjami, które należy zastosować, aby zminimalizować wymienione ryzyka.

Szczególny nacisk położony jest na bezpieczeństwo po stronie klienta, obejmujące problemy związane z JavaScript, Ajax i HTML5. Wprowadzone zostaną liczne rozszerzenia związane z bezpieczeństwem dla PHP, takie jak hash, mcrypt i OpenSSL do kryptografii, czy Ctype, ext/filter i HTML Purifier do walidacji danych wejściowych. Najlepsze praktyki związane z zabezpieczaniem są przedstawione w kontekście konfiguracji PHP (ustawienia php.ini), Apache oraz serwera ogólnie. Na koniec przedstawiony zostanie przegląd różnych narzędzi i technik testowania bezpieczeństwa, które mogą być wykorzystane przez programistów i testerów, w tym skanery bezpieczeństwa, testy penetracyjne i pakiety exploitów, sniffery, serwery proxy, narzędzia do fuzzingu oraz statyczne analizatory kodu źródłowego.

Zarówno wprowadzenie do luk w zabezpieczeniach, jak i praktyki konfiguracyjne są wspierane licznymi ćwiczeniami praktycznymi, demonstrującymi konsekwencje udanych ataków, pokazującymi, jak zastosować techniki minimalizujące ryzyko, oraz wprowadzającymi użycie różnych rozszerzeń i narzędzi.

Uczestnicy tego kursu:

• Zrozumieją podstawowe koncepcje bezpieczeństwa, bezpieczeństwa IT oraz bezpiecznego programowania
• Poznają luki w zabezpieczeniach stron internetowych wykraczające poza OWASP Top Ten i dowiedzą się, jak ich unikać
• Poznają luki po stronie klienta oraz praktyki bezpiecznego programowania
• Zdobędą praktyczną wiedzę na temat kryptografii
• Nauczą się korzystać z różnych funkcji zabezpieczeń PHP
• Poznają typowe błędy w kodowaniu i dowiedzą się, jak ich unikać
• Zostaną poinformowani o najnowszych lukach w frameworku PHP
• Zdobędą praktyczną wiedzę na temat korzystania z narzędzi do testowania bezpieczeństwa
• Otrzymają źródła i dalsze materiały do czytania na temat praktyk bezpiecznego programowania

Grupa docelowa

Programiści

Połączone szkolenie SDL Core zapewnia wgląd w bezpieczne projektowanie, rozwój i testowanie oprogramowania poprzez Microsoft Secure Development Lifecycle (SDL). Zawiera przegląd poziomu 100 dotyczący fundamentalnych elementów SDL, a następnie techniki projektowania, które można zastosować w celu wykrycia i naprawy błędów na wczesnych etapach procesu rozwoju.

Omawiając fazę rozwoju, kurs przedstawia przegląd typowych błędów programistycznych związanych z bezpieczeństwem zarówno w kodzie zarządzanym, jak i natywnym. Prezentowane są metody ataków na omawiane podatności wraz z technikami ich łagodzenia, wszystko wyjaśnione poprzez szereg praktycznych ćwiczeń, które zapewniają uczestnikom zabawę związaną z żywym hakowaniem. Po wprowadzeniu różnych metod testowania bezpieczeństwa demonstrowana jest skuteczność różnych narzędzi testowych. Uczestnicy mogą zrozumieć działanie tych narzędzi poprzez szereg praktycznych ćwiczeń, stosując je do wcześniej omówionego podatnego kodu.

Uczestnicy tego kursu będą

Rozumieć podstawowe koncepcje bezpieczeństwa, bezpieczeństwa IT i bezpiecznego kodowania

Zapoznają się z podstawowymi krokami Microsoft Secure Development Lifecycle

Nauczą się bezpiecznych praktyk projektowania i rozwoju

Dowiedzą się o zasadach bezpiecznej implementacji

Zrozumieją metodologię testowania bezpieczeństwa

• Otrzymają źródła i dalsze lektury na temat praktyk bezpiecznego kodowania

Grupa docelowa

Programiści, Menadżerowie

Ochrona aplikacji dostępnych przez internet wymaga dobrze przygotowanych specjalistów ds. bezpieczeństwa, którzy są na bieżąco z aktualnymi metodami i trendami ataków. Istnieje mnóstwo technologii i środowisk, które umożliwiają komfortowe tworzenie aplikacji internetowych. Należy być świadomym nie tylko problemów bezpieczeństwa związanych z tymi platformami, ale także wszystkich ogólnych luk w zabezpieczeniach, które mają zastosowanie niezależnie od używanych narzędzi programistycznych.

Kurs przedstawia przegląd stosowanych rozwiązań bezpieczeństwa w aplikacjach internetowych, ze szczególnym naciskiem na zrozumienie najważniejszych rozwiązań kryptograficznych. Różne luki w zabezpieczeniach aplikacji internetowych są przedstawiane zarówno po stronie serwera (zgodnie z OWASP Top Ten), jak i po stronie klienta, demonstrowane poprzez odpowiednie ataki, a następnie omawiane są zalecane techniki kodowania i metody ograniczania ryzyka, aby uniknąć związanych z nimi problemów. Temat bezpiecznego kodowania jest podsumowany poprzez omówienie typowych błędów programistycznych związanych z bezpieczeństwem w dziedzinie walidacji danych wejściowych, niewłaściwego użycia funkcji bezpieczeństwa i jakości kodu.

Testowanie odgrywa bardzo ważną rolę w zapewnieniu bezpieczeństwa i niezawodności aplikacji internetowych. Różne podejścia – od audytu wysokiego poziomu przez testy penetracyjne po etyczne hakowanie – mogą być stosowane w celu znalezienia różnych typów luk w zabezpieczeniach. Jednak jeśli chcesz wyjść poza łatwe do znalezienia „niskie owoce”, testowanie bezpieczeństwa powinno być dobrze zaplanowane i prawidłowo przeprowadzone. Pamiętaj: testerzy bezpieczeństwa powinni idealnie znaleźć wszystkie błędy, aby chronić system, podczas gdy dla przeciwników wystarczy znaleźć jedną lukę, którą można wykorzystać, aby się do niego dostać.

Praktyczne ćwiczenia pomogą zrozumieć luki w zabezpieczeniach aplikacji internetowych, błędy programistyczne, a przede wszystkim techniki ograniczania ryzyka, wraz z praktycznym zastosowaniem różnych narzędzi testowych, od skanerów bezpieczeństwa przez sniffery, serwery proxy, narzędzia do fuzzingu po statyczne analizatory kodu źródłowego. Kurs ten zapewnia niezbędne praktyczne umiejętności, które można zastosować już następnego dnia w miejscu pracy.

Uczestnicy kursu

• Zrozumieją podstawowe pojęcia związane z bezpieczeństwem, bezpieczeństwem IT i bezpiecznym kodowaniem
• Poznają luki w zabezpieczeniach internetowych wykraczające poza OWASP Top Ten i dowiedzą się, jak ich unikać
• Poznają luki po stronie klienta i praktyki bezpiecznego kodowania
• Zdobyją praktyczną wiedzę na temat kryptografii
• Zrozumieją podejścia i metodyki testowania bezpieczeństwa
• Zdobyją praktyczną wiedzę w zakresie stosowania technik i narzędzi testowania bezpieczeństwa
• Będą na bieżąco z najnowszymi lukami w zabezpieczeniach różnych platform, frameworków i bibliotek
• Otrzymają źródła i dalsze lektury na temat praktyk bezpiecznego kodowania

Grupa docelowa

Programiści, Testerzy

Na tym prowadzonym przez instruktora kursie na żywo w Polsce, uczestnicy dowiedzą się, jak opracować właściwą strategię bezpieczeństwa, aby sprostać wyzwaniom związanym z bezpieczeństwem DevOps.

EC-Council Certified DevSecOps Engineer (ECDE) to praktyczny kurs zaprojektowany, aby wyposażyć profesjonalistów w umiejętności wdrażania zabezpieczeń na każdym etapie cyklu życia DevOps, umożliwiając bezpieczne tworzenie oprogramowania od planowania do wdrożenia.

Ten szkolenie prowadzone przez instruktora, dostępne online lub na miejscu, jest skierowane do średniozaawansowanych specjalistów ds. oprogramowania i DevOps, którzy chcą zintegrować praktyki bezpieczeństwa z potokami CI/CD, zapewniając dostarczanie bezpiecznego i zgodnego z przepisami kodu.

Po ukończeniu szkolenia uczestnicy będą mogli:

• Zrozumieć zasady i praktyki DevSecOps.
• Zabezpieczyć każdy etap potoku CI/CD przy użyciu zautomatyzowanych narzędzi.
• Wdrożyć bezpieczne praktyki kodowania i skanowanie pod kątem luk w zabezpieczeniach.
• Przygotować się do certyfikacji ECDE dzięki praktycznym laboratoriom i przeglądom.

Format kursu

• Interaktywne wykłady i dyskusje.
• Praktyczne korzystanie z narzędzi DevSecOps w symulowanych potokach.
• Prowadzone ćwiczenia skupione na bezpiecznym rozwoju i wdrażaniu.

Opcje dostosowania kursu

• Aby zamówić dostosowane szkolenie do potrzeb Twojego zespołu lub łańcucha narzędzi, skontaktuj się z nami, aby uzgodnić szczegóły.

To szkolenie prowadzone przez instruktora, na żywo w Polsce (online lub na miejscu) jest skierowane do inżynierów bezpieczeństwa i administratorów systemów, którzy chcą wykorzystać zaawansowane systemy sieciowe oparte na bezpieczeństwie FortiGate NGFW, aby chronić swoją organizację przed zagrożeniami wewnętrznymi i zewnętrznymi.

Pod koniec szkolenia uczestnicy będą mogli:

• Zainstalować i skonfigurować preferowany model oprogramowania i sprzętu FortiGate NGFW.
• Obsługiwać i wykorzystywać FortiGate NGFW w celu poprawy efektywności zadań administracyjnych systemu.
• Zarządzać różnymi formami zagrożeń zewnętrznych i wewnętrznych przy użyciu funkcji FortiGate.
• Zintegrować strukturę bezpieczeństwa FortiGate z całą infrastrukturą IT, aby zapewnić szybką automatyczną ochronę.
• Zapewnić długoterminową ochronę przed atakami dzięki niezależnej i ciągłej analizie zagrożeń FortiGate.
• Rozwiązywać najczęstsze problemy związane z konfiguracją systemów zapory ogniowej, dotyczące FortiGate NGFW.
• Wdrażać rozwiązania bezpieczeństwa Fortinet w innych aplikacjach przedsiębiorstwa.

To szkolenie prowadzone przez instruktora na żywo w Polsce (online lub na miejscu) jest skierowane do testerów oprogramowania, którzy chcą chronić sieć swojej organizacji za pomocą Nmap.

Pod koniec szkolenia uczestnicy będą mogli:

• Skonfigurować niezbędne środowisko testowe, aby rozpocząć korzystanie z Nmap.
• Skanować systemy sieciowe pod kątem luk w zabezpieczeniach.
• Wykrywać aktywne i podatne na ataki hosty.

Ten kurs w Polsce ma na celu pomoc w następujących obszarach:

1. Pomoc programistom w opanowaniu technik pisania bezpiecznego kodu
2. Pomoc testerom oprogramowania w testowaniu bezpieczeństwa aplikacji przed wdrożeniem do środowiska produkcyjnego
3. Pomoc architektom oprogramowania w zrozumieniu ryzyk związanych z aplikacjami
4. Pomoc liderom zespołów w ustaleniu podstawowych zasad bezpieczeństwa dla programistów
5. Pomoc webmasterom w konfiguracji serwerów, aby uniknąć błędów konfiguracyjnych

Ten kurs obejmuje koncepcje i zasady bezpiecznego kodowania w języku Java poprzez metodologię testowania Open Web Application Security Project (OWASP). Open Web Application Security Project to społeczność internetowa, która tworzy dostępne za darmo artykuły, metodologie, dokumentacje, narzędzia i technologie w dziedzinie bezpieczeństwa aplikacji internetowych.

Ten kurs obejmuje koncepcje i zasady bezpiecznego kodowania w ASP.NET poprzez metodologię testowania Open Web Application Security Project (OWASP). OWASP to społeczność online, która tworzy bezpłatne artykuły, metodologie, dokumentację, narzędzia i technologie w dziedzinie bezpieczeństwa aplikacji internetowych.

Kurs ten bada funkcje bezpieczeństwa frameworka .NET oraz sposoby zabezpieczania aplikacji internetowych.