Kurz: Bezpečnost v prostředí WWW aplikací a internetových služeb

Lektoři kurzu

Lektoři z firmy: ICT Pro s.r.o. – Kurzy, školení, konzultace ICT a Soft Skills

[Kurz] Program kurzu (obsah přednášky/semináře/rekvalifikace/studia) ...

Základy použití analyzátoru sítí Ethereal/Wireshark a tcpdump. Analýza protokolů TCP, UDP a IP. Zachycení hesla nezabezpečených protokolů v síti. Model klient-server v sítích. Zachycení a ukázka analýzy protokolů ARP,http, FTP, DNS a DHCP, IPSec, Skype a dalších. Použití filtrů ve Wireshark. Praktická ukázka snifování v Linuxu. Analýza protokolu http/https – ukládání do mezipaměti, soubory cookie, krádeže relací atd.

Možnosti získávání informací o cíli. Nástroje hackerů pro Linux a Windows. Základy inventarizace a použití skenerů na síťové vrstvě. Ukázka různých druhů skenerů zejména nmap a nessus. Použití skenerů pro ohledání vyšších vrstev – amap, dsniff. Použití nástroje Cain&Abel pro detekci zařízení.

Specializované skenery a jejich použití pro kontrolu WWW serverů např. N-STealth, Retina a Nessus. Použití nezávislých databází slabin a zranitelností. Ukázka použití nástroje Metasploit pro napadení systémů Linux. Možnosti inventarizace pomocí protokolů vyšších vrstev např. přes LDAP, SNMP a další.

Základy virů, jejich dělení a postup odstranění virové nákazy spojený s praktickou ukázkou. Použití nástrojů od sysinternals. Ověření a odstranění nákazy pomocí specializovaných antivirových nástrojů. Způsoby manipulace jádra a paměti škodlivým kódem a rootkity. Seznámení s rootkity a postupy pro jejich identifikaci a odstranění. Použití trojanů pro ovládnutí systému. Praktické odstranění trojanů z operačního systému.

Popis útoků na síťové vrstvě. Použití programu Cain & Abel pro odchytávání hesel a demonstraci útoku Man in the middle . Ukázka použití programu ettercap pro zachytávání hesel. Formy útoků na protokoly a služby konkrétně DNS, ARP, http a další. Možnosti přímých útoků na síťová zařízení primárně s Cisco IOS. Ukázka DoS útoků, vyhladovění tabulky MAC adres atd.

Demonstrace útoků na WWW a proxy servery. Kontrola zabezpečení Web serveru MS IIS 6/7 a apache. Možnosti narušení bezpečnosti serverů přes dynamický kód – ActiveX. Chyby v implementaci Java Virtual Machine. Slabiny webovských prohlížečů. Použití dostupných technik a nástrojů z nástroje Metasploit a FastTrack.

Metodika hodnocení a selfassesmentu dle OWASP (Open Web Application Security Project). Základní nástroje pro naplnění požadavků OWASP dostupné v distribuci Backtrack. Ukázka používání nástrojů pro vyhledávání slabých míst WWW aplikací pomocí WebScarab a Nessus. Ukázka použití nástrojů pro analýzu provozu mezi klientem a WWW serverem např. nástroj Fiddler.

Základy použití distribuce Samurai pro testování WWW a PHP aplikací. Ukázka zneužití pomocí SQL injection a Shell Command injection. Zásady, jak se vyhnout útokům typu SQL injection.

Zneužívání a kontrola vstupu dat od uživatelů. Útoky Cross-site scripting. Ukázka zneužití protokolu HTTPS pomocí nástroje Cain&Abel. Obecné zásady pro psaní bezpečných aplikací. Praktické procvičení chyb v testovacím prostředí WebGoat.

[Kurz] Obsah kurzu/školení...

[Kurz] Cíl školení / poznámka ke kurzu...