Curs de pregatire Cum să Scrii Cod Sigur

Implementarea unei aplicații securizate într-un mediu de rețea poate fi dificilă, chiar și pentru dezvoltatorii care au utilizat anterior diverse module de bază criptografice (cum ar fi criptarea și semnăturile digitale). Pentru a ajuta participanții să înțeleagă rolul și utilizarea acestor primitivi criptografice, se prezintă mai întâi o fundație solidă privind cerințele principale ale comunicării securizate – confirmare securizată, integritate, confidențialitate, identificare la distanță și anonimatate – prezentând simultan problemele tipice care pot afecta aceste cerințe, împreună cu soluțiile din lumea reală.

Deoarece criptografia este un aspect critic al securității rețelei, sunt discutate algoritmele criptografice cele mai importante în contextul criptării simetrice, hashing-ului, criptării asimetrice și acordării cheilor. În loc să prezinte o bază matematică detaliată, aceste elemente sunt abordate din perspectiva unui dezvoltator, demonstrând exemple tipice de cazuri de utilizare și aspecte practice legate de utilizarea criptografiei, cum ar fi infrastructurile de chei publice (PKI). Sunt introduse protocoalele de securitate în diverse domenii ale comunicării securizate, cu o discuție detaliată asupra familiilor de protocoale cele mai utilizate, cum ar fi IPSEC și SSL/TLS.

Sunt discutate vulnerabilitățile criptografice tipice, atât cele legate de anumite algoritme criptografice, cât și de protocoalele criptografice, precum BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE și altele similare, precum și atacul de timp asupra RSA. Pentru fiecare caz, sunt descrise aspectele practice și consecințele potențiale ale fiecărei probleme, din nou, fără a intra în detalii matematice complexe.

În final, deoarece tehnologia XML este centrală pentru schimbul de date între aplicațiile conectate la rețea, sunt descrise aspectele de securitate ale XML-ului. Aceasta include utilizarea XML-ului în serviciile web și mesajele SOAP, împreună cu măsurile de protecție precum semnătura XML (XML Signature) și criptarea XML (XML Encryption) – precum și slăbiciunile acestor măsuri de protecție și problemele specifice securității XML, cum ar fi injecția XML, atacurile de entitate externă XML (XXE), bombele XML și injecția XPath.

Participanții care urmează acest curs vor

• Înțelege conceptele de bază ale securității, securității IT și a programării securizate
• Înțelege cerințele comunicării securizate
• Afla despre atacurile asupra rețelelor și mecanismele de apărare la diferite niveluri OSI
• A avea o înțelegere practică a criptografiei
• Înțelege protocoalele esențiale de securitate
• Înțelege unele atacuri recente împotriva sistemelor criptografice
• Putea obține informații despre unele vulnerabilități recente conexe
• Înțelege conceptele de securitate ale serviciilor web
• Obține surse și lecturi suplimentare privind practicile de programare securizată

PUBLICȚȚINTĂ

Dezvoltatori, Profesioniști

Scrierea unui cod securizat în C și C++ necesită o apărare riguroasă împotriva exploatării malitioase, a corupției memoriei și a ocolirii validării intrărilor. Acest program analizează tiparele de vulnerabilitate, inclusiv depășirea tamponului (buffer overflow), utilizarea după eliberare (use-after-free), depășiri întregi și confuzia de tipuri. Participanții aplică ghidurile de codare securizată, instrumentele de analiză statică și tehnicile de programare defensivă pentru a elimina punctele slabe, pentru a impune igienizarea intrărilor și pentru a livra un software robust, rezistent la atacurile cibernetice.

Chiar și programatorii Java experimentați nu stăpânesc pe deplin diversele servicii de securitate oferite de Java și, de asemenea, nu sunt conștienți de diferitele vulnerabilități relevante pentru aplicațiile web scrise în Java.

Cursul – pe lângă introducerea componentelor de securitate din Standard Java Edition – abordează problemele de securitate ale Java Enterprise Edition (JEE) și serviciilor web. Discuția despre serviciile specifice este precedată de fundamentele criptografiei și comunicării securizate. Diverse exerciții abordează tehnicile de securitate declarativă și programatică în JEE, în timp ce se discută atât securitatea la nivel de transport, cât și securitatea end-to-end a serviciilor web. Utilizarea tuturor componentelor este prezentată prin mai multe exerciții practice, unde participanții pot încerca API-urile și instrumentele discutate pe cont propriu.

Cursul trece, de asemenea, prin cele mai frecvente și grave erori de programare ale limbajului și platformei Java și vulnerabilitățile legate de web. Pe lângă bug-urile tipice comise de programatorii Java, vulnerabilitățile de securitate introduse acoperă atât probleme specifice limbajului, cât și probleme care provin din mediul de execuție. Toate vulnerabilitățile și atacurile relevante sunt demonstrate prin exerciții ușor de înțeles, urmate de recomandările de codare și tehnicile posibile de atenuare.

Participanții care urmează acest curs vor

• Înțelege conceptele de bază ale securității, securității IT și codării securizate
• Învață despre vulnerabilitățile web dincolo de OWASP Top Ten și cum să le evite
• Înțelege conceptele de securitate ale serviciilor web
• Învață să utilizeze diverse funcționalități de securitate ale mediului de dezvoltare Java
• Dobândește o înțelegere practică a criptografiei
• Înțelege soluțiile de securitate ale Java EE
• Învață despre greșelile tipice de codare și cum să le evite
• Obține informații despre unele vulnerabilități recente din cadrul Java
• Dobândește cunoștințe practice în utilizarea instrumentelor de testare a securității
• Obține surse și lecturi suplimentare despre practicile de codare securizată

Public țintă

Dezvoltatori

În prezent, există numeroase limbaje de programare care permit compilarea codului pentru framework-urile .NET și ASP.NET. Mediul oferă instrumente puternice pentru dezvoltarea securizată, dar dezvoltatorii trebuie să știe cum să aplice tehnicile de programare la nivel de arhitectură și cod pentru a implementa funcționalitățile de securitate dorite și pentru a evita vulnerabilitățile sau a le limita exploatarea.

Scopul acestui curs este să învețe dezvoltatorii, prin numeroase exerciții practice, cum să prevină executarea de acțiuni privilegiate de către cod neîncredințat, să protejeze resursele prin autentificare și autorizare puternică, să ofere apeluri de procedură la distanță, să gestioneze sesiunile, să introducă diferite implementări pentru anumite funcționalități și multe altele.

Introducerea diferitelor vulnerabilități începe cu prezentarea unor probleme tipice de programare comise atunci când se utilizează .NET, în timp ce discuția despre vulnerabilitățile ASP.NET abordează, de asemenea, diverse setări de mediu și efectele acestora. În cele din urmă, subiectul vulnerabilităților specifice ASP.NET nu abordează doar unele provocări generale de securitate a aplicațiilor web, ci și probleme speciale și metode de atac, cum ar fi atacul asupra ViewState sau atacurile de terminare a șirurilor.

Participanții la acest curs vor

• Înțelege conceptele de bază ale securității, securității IT și ale programării securizate
• Învață despre vulnerabilitățile web dincolo de OWASP Top Ten și cum să le evite
• Învață să utilizeze diverse caracteristici de securitate ale mediului de dezvoltare .NET
• Dobândește cunoștințe practice în utilizarea instrumentelor de testare a securității
• Învață despre greșelile tipice de codare și cum să le evite
• Obține informații despre unele vulnerabilități recente în .NET și ASP.NET
• Obține surse și lecturi suplimentare despre practicile de programare securizată

Public țintă

Dezvoltatori

Acest curs oferă dezvoltatorilor PHP abilitățile esențiale necesare pentru a face aplicațiile lor rezistente la atacurile contemporane prin intermediul Internetului. Vulnerabilitățile web sunt discutate prin exemple bazate pe PHP, depășind top 10 OWASP și abordând diverse atacuri de tip injecție, injecții de script, atacuri împotriva gestionării sesiunilor în PHP, referințe directe nesigure la obiecte, probleme cu încărcarea fișierelor și multe altele. Vulnerabilitățile legate de PHP sunt introduse grupate în tipurile standard de vulnerabilități: validarea incorectă sau lipsa validării intrărilor, gestionarea erorilor și excepțiilor incorectă, utilizarea necorespunzătoare a funcționalităților de securitate și problemele legate de timp și stare. Pentru această ultimă categorie discutăm atacuri precum ocolirea directivei open_basedir, denegarea serviciului prin float-ul magic sau atacurile de coliziune în tabelele hash. În toate cazurile, participanții vor deveni familiarizați cu cele mai importante tehnici și funcții care trebuie utilizate pentru a atenua riscurile enumerate.

O atenție specială este acordată securității din partea clientului, abordând problemele de securitate ale JavaScript, Ajax și HTML5. Sunt prezentate o serie de extensii legate de securitate pentru PHP, cum ar fi hash, mcrypt și OpenSSL pentru criptografie, sau Ctype, ext/filter și HTML Purifier pentru validarea intrărilor. Cele mai bune practici de întărire a securității sunt prezentate în conexiune cu configurarea PHP (setarea php.ini), Apache și serverul în general. În final, se oferă o privire de ansamblu asupra diverselor instrumente și tehnici de testare a securității pe care dezvoltatorii și testerii le pot utiliza, inclusiv scannere de securitate, teste de penetrare, pachete de exploatare, sniffer-e, servere proxy, instrumente de fuzzing și analizatoare statice ale codului sursă.

Tant introducere vulnerabilităților cât și practicile de configurare sunt susținute de o serie de exerciții practice care demonstrează consecințele atacurilor cu succes, arătând cum se aplică tehnicile de atenuare și introduc utilizarea diverselor extensii și instrumente.

Participanții la acest curs vor

• A înțelege conceptele de bază ale securității, securității IT și programării securizate
• A învăța vulnerabilitățile web dincolo de OWASP Top Ten și să știe cum să le evite
• A învăța vulnerabilitățile din partea clientului și practicile de programare securizată
• A avea o înțelegere practică a criptografiei
• A învăța să utilizeze diverse funcționalități de securitate ale PHP
• A învăța despre greșelile tipice de programare și cum să le evite
• A fi informat despre vulnerabilitățile recente ale framework-ului PHP
• A obține cunoștințe practice în utilizarea instrumentelor de testare a securității
• A obține surse și lecturi suplimentare privind practicile de programare securizată

Public țintă

Dezvoltatori

Cursul combinat de bază SDL oferă o perspectivă asupra proiectării, dezvoltării și testării sigure a software-ului prin intermediul Microsoft Secure Development Lifecycle (SDL). Acesta oferă o prezentare de nivel 100 a elementelor fundamentale ale SDL, urmată de tehnici de proiectare pentru a detecta și repara defecte în etapele timpurii ale procesului de dezvoltare.

Acoperind faza de dezvoltare, cursul oferă o prezentare generală a bug-urilor de programare relevante pentru securitate, atât pentru codul gestionat, cât și pentru cel nativ. Sunt prezentate metode de atac pentru vulnerabilitățile discutate, împreună cu tehnicile asociate de atenuare, toate explicate prin numeroase exerciții practice care oferă participanților distracție prin hacking live. Introducerea diferitelor metode de testare a securității este urmată de demonstrarea eficacității diverselor instrumente de testare. Participanții pot înțelege funcționarea acestor instrumente prin numeroase exerciții practice, aplicând instrumentele pe codul vulnerabil deja discutat.

Participanții care urmează acest curs vor

Înțelege conceptele de bază ale securității, securității IT și codificării sigure

Se familiarizează cu pașii esențiali ai Microsoft Secure Development Lifecycle

Învață practici de proiectare și dezvoltare sigură

Învață despre principiile de implementare sigură

Înțelege metodologia de testare a securității

• Obține surse și lecturi suplimentare despre practicile de codificare sigură

Publicul țintă

Dezvoltatori, Manageri

În acest curs condus de un instructor, în direct în România, participanții vor învăța cum să formuleze strategia de securitate corectă pentru a face față provocărilor de securitate DevOps.

Acest curs oferă o explorare aprofundată a Ciclului de Viață al Dezvoltării Software (SDLC) și a implementării sale sigure prin automatizare, integrare și cele mai bune practici de securitate. Participanții vor dobândi experiență practică în integrarea metodelor DevOps și DevSecOps pentru a îmbunătăți securitatea software-ului, menținând în același timp eficiența. Cursul acoperă, de asemenea, instrumentele esențiale OWASP pentru modelarea amenințărilor, integrarea SBOM, urmărirea vulnerabilităților și testarea securității în pipeline-urile CI/CD.

Acest workshop de clasă mondială, inovator și practic introduce participanții în realitățile critice ale securității moderne a pipeline-urilor CI/CD. Conceput pentru profesioniști în securitate, ingineri DevOps și dezvoltatori dornici să stăpânească tehnici avansate de apărare împotriva breșelor, training-ul combină simulări de atacuri în timp real cu instrumente de top din industrie și tehnici practice de apărare.

EC-Council Certified DevSecOps Engineer (ECDE) este un curs practic conceput pentru a echipa profesioniștii cu abilitățile necesare pentru a integra securitatea pe tot parcursul ciclului de viață DevOps, facilitând dezvoltarea de software sigur de la planificare până la implementare.

Acest training condus de un instructor, în format live (online sau la fața locului), este destinat profesioniștilor de nivel intermediar din domeniul software și DevOps care doresc să integreze practici de securitate în pipeline-urile CI/CD, asigurând livrarea de cod sigur și conform.

La finalul acestui training, participanții vor putea:

• Înțelege principiile și practicile DevSecOps.
• Securiza fiecare etapă a pipeline-ului CI/CD folosind instrumente automate.
• Implementa practici de codare sigură și scanare de vulnerabilități.
• Se pregăti pentru certificarea ECDE cu laboratoare practice și recapitulare.

Formatul cursului

• Prelegere interactivă și discuții.
• Utilizare practică a instrumentelor DevSecOps în pipeline-uri simulate.
• Exerciții ghidate axate pe dezvoltarea și implementarea securizată.

Opțiuni de personalizare a cursului

• Pentru a solicita un training personalizat pentru acest curs, bazat pe fluxurile de lucru sau lanțul de instrumente al echipei dumneavoastră, vă rugăm să ne contactați pentru a aranja.

Bazat pe cele mai recente ghiduri ale Proiectului OWASP GenAI Security, participanții vor învăța să identifice, evalueze și atenuați amenințările specifice AI prin exerciții practice și scenarii din lumea reală.

Acest training condus de un instructor, live în România (online sau onsite), este destinat dezvoltatorilor web și liderilor care doresc să exploreze și să implementeze standardul de referință OWASP Top 10 pentru a-și securiza aplicațiile web.

La sfârșitul acestui training, participanții vor putea să-și planifice, implementeze, securizeze și monitorizeze aplicațiile și serviciile web folosind documentul OWASP Top 10.

Acest training condus de un instructor, live în România (online sau la fața locului), este destinat dezvoltatorilor, inginerilor și arhitecților care doresc să aplice cadrul, principiile și tehnicile de testare WSTG pentru a-și securiza aplicațiile și serviciile web.

La finalul acestui training, participanții vor putea:

• Să utilizeze WSTG pentru a implementa procese și tehnici de testare în ciclul de dezvoltare web.
• Să exploreze diferite tehnici de testare pentru a personaliza cadrul WSTG în funcție de nevoile afacerii.
• Să efectueze diverse metode de testare a securității pentru a proteja aplicațiile web de riscuri și atacuri.
• Să creeze un raport de evaluare pentru a documenta constatările și rezultatele testării de securitate.

Acest curs acoperă conceptele și principiile de codare sigură în Java prin metodologia de testare a Open Web Application Security Project (OWASP). Open Web Application Security Project este o comunitate online care creează articole, metodologii, documentație, instrumente și tehnologii disponibile gratuit în domeniul securității aplicațiilor web.

Acest curs acoperă conceptele și principiile de codare securizată cu ASP.NET prin metodologia de testare a Proiectului pentru Securitatea Aplicațiilor Web Deschise (OWASP). OWASP este o comunitate online care creează articole, metodologii, documentație, instrumente și tehnologii gratuite în domeniul securității aplicațiilor web.

Acest curs explorează caracteristicile de securitate ale cadrului de lucru .NET și modul de a securiza aplicațiile web.