Kurz: Bezpečný vývoj aplikací - SSDLC

Lektoři kurzu

Lektoři z firmy: ICT Pro s.r.o. – Kurzy, školení, konzultace ICT a Soft Skills

[Kurz] Program kurzu (obsah přednášky/semináře/rekvalifikace/studia) ...

Představení SSDLC
• Představení trendů v IT bezpečnosti - Nové trendy a technologie objevující se na trhu.
• Životní cyklus bezpečného vývoje SW - SSDLC musí řešit více IT oblastí, jako je kontrola zdrojového kódu, bezpečnostní analýza, design zabezpečení a architekturu, školení a tréning, penetrační a bezpečnostní testování, podporu agilních modelů.
• Agilní vývoj a bezpečnost
• Modelování bezpečných aplikací (Archimate / UML / Modelování hrozeb) - UML modelování, Archimate a další jazyky pro popis bezpečnosti. Modelování hrozeb pomocí STRIDE a DREAD metodik.

DevSecOps
• Definice DevOps
• DevSecOps Toolchain - Nástroje a technologie pro DevOps a jeho aktivity.
• Automatizace bezpečnosti ve vývoji - Revize zdrojového kódu, Makra, OpenVAS a další.
• Automatizační přístupy k bezpečnosti - konfigurační management, automatizace testování, bezpečnostní audity, nasazování systémů pomocí kódu.
• Architektura jako kód - Bezpečnost definovaná kódem nebo pseudojazyky.
• Kontinuální integrace a vývoj ve spojení s bezpečností - zajištění bezpečnosti v kontinuálním vývoji a kontrolních branách nasazování Software na produkci.

Aplikační bezpečnost OWASP TOP 10
• A 1 – Injektáž - Typy injekcí a detailní pohled do injektování běžných aplikací. Přehled světa injektování nevalidovaných nebo špatně validovaných aplikačních vstupů.
• A 2 - Prolomená autentizace - Manipulace s relacemi, uživatelské role a zabezpečení autentizace.
• A 3 - Vystavení citlivých dat - První věcí je určit požadavky na ochranu dat v přenosu v uložištích.
• A 4 - XML externí entity (XXE) - XML bezpečnost a útoky na XML komunikaci.
• A 5 - Prolomení kontroly přístupu - Potvrzení totožnosti uživatele, autentizace a řízení relace jsou rozhodující pro ochranu před autentizačními útoky.
• A 6 - Slabá bezpečnostní konfigurace serverů - Problémy v konfiguraci webových aplikačních serverů.
• A 7 - Cross-Site Scripting (XSS) - Typy cross site striptingu a jak jim předcházet v běžných webových systémech.
• A 8 - Nebezpečná deserializace - Deserializační problémy.
• A 9 - Používání komponent se známými zranitelnostmi - Běžné problémy s používáním Open source řešení a knihoven se známými zranitelnostmi.
• A 10 - Nedostatečné Logování a monitoring - Logování a monitoring v kontextu IT bezpečnosti. Zdůraznění důležitosti ochrany logů a informací v nich.
• Bezpečnost API (REST a SOAP) - základy
• Problémy přetečení bufferu - Typy přetečení bufferu a problémy v Software plynoucí z tohoto typu zranitelnosti.

Security architektura
• Návrhové vzory (nízkoúrovňové) a knihovny řešení - secure visitor, secure factory, exception manager apod.
• Architekturní návrhové vzory - Návrhové vzory architekturní vrstvy, návrhové vzory spojené s infrastrukturou a také softwarově definovanými sítěmi (SDN).

Nástroje a metody se kterými se setkáte:
• OWASP Proactive Controls, BurpSuite, MobSF, apktool, Fiddler, nmap, SQLmap, Lynis, OWASP ZAP proxy, Kali Linux, OpenVAS, Wapiti, Aplication Security verification standard, OWASP testing guide, Opensource nástroje a mnohé další.

[Kurz] Obsah kurzu/školení...

[Kurz] Cíl školení / poznámka ke kurzu...