Szkolenie: Bezpieczeństwo aplikacji webowych

Kategoria: Bezpieczeństwo systemów IT. Metody ataku i obrony

O szkoleniu

Programiści, testerzy, administratorzy, architekci, osoby odpowiadające za bezpieczeństwo i ci, którzy odbierają aplikacje od zewnętrznych wykonawców — to szkolenie jest dla wszystkich mających w pracy do czynienia z aplikacjami webowymi i chcących je zobaczyć z obu stron: z tej, z której patrzą atakujący, i z tej, z której się te aplikacje zabezpiecza. Przez dwa dni pracujemy na przygotowanych podatnych systemach; uczestnicy sami wyszukują błędy, potwierdzają je, a następnie omawiamy, co należało zrobić inaczej w kodzie albo w konfiguracji.

Po tych dwóch dniach:

• Zobaczysz swoją aplikację tak, jak widzi ją ktoś, kto szuka do niej “wejścia” — od czego zaczyna, czego szuka najpierw, które miejsca sprawdza, zanim w ogóle zajrzy do formularza logowania.
• Poznasz kilkanaście narzędzi używanych w testach bezpieczeństwa, takich jak Burp Suite czy OWASP ZAP — proxy przechwytujące, skanery, narzędzia do automatyzacji wstrzyknięć — i dowiesz się, kiedy które z nich ma sens, a kiedy tylko generuje szum.
• Samodzielnie przeprowadzisz ataki: wstrzyknięcie SQL, XSS, przejęcie sesji, wykorzystanie błędu kontroli dostępu — na przygotowanych aplikacjach, na których wolno to robić.
• Do każdej podatności zobaczysz konkretną poprawkę: zmianę w kodzie albo w konfiguracji (a nie np. ogólną radę „waliduj dane wejściowe”).
• Przejdziesz pełny test aplikacji od początku do końca — od rozpoznania, przez znalezienie i potwierdzenie kilku niezależnych błędów, po raport, z którego zespół rozwojowy wie, co poprawić. Przy okazji nauczysz się czytać raporty, które dostajesz od firm zewnętrznych.

Zakres obejmuje klasyczne klasy podatności aplikacji webowych — wstrzyknięcia, XSS, CSRF, błędy zarządzania sesją, path traversal, problemy z uploadem plików — oraz obszary, które w ostatnich latach stały się głównym źródłem incydentów: bezpieczeństwo API, kontrola dostępu i IDOR, SSRF, tokeny JWT. Do tego, omawiamy takie tematy, jak deserializacja danych wejściowych, konfiguracja nagłówków i polityki CSP. Osobno zwracamy uwagę na to, że aplikacje wystawione do internetu są dziś skanowane masowo i automatycznie — oraz na to, jak tych samych narzędzi użyć do przeglądu własnego serwisu, zanim zrobi to ktoś inny.

Każdy blok ma podobną strukturę: krótkie wprowadzenie, demonstracja ataku, samodzielne ćwiczenie uczestników, omówienie zabezpieczenia. Nie omawiamy ataku bez pokazania obrony. Szkolenie zamyka samodzielny test bezpieczeństwa aplikacji, w którym trzeba wykryć kilka niezależnych podatności, ocenić ich ryzyko i opisać je tak, żeby zespół rozwojowy wiedział, co poprawić. Pracujemy na narzędziach, których używa się w tej pracy naprawdę: Burp Suite jako podstawowe proxy i warsztat pracy, OWASP ZAP i Caido przy skanowaniu i automatyzacji, sqlmap przy wstrzyknięciach SQL, do tego narzędzia deweloperskie przeglądarki i narzędzia do enumeracji zasobów. Punktem odniesienia dla zakresu są OWASP Top 10, OWASP ASVS i OWASP Web Security Testing Guide.

Szkolenie różni się od kursów pentesterskich tym, że punktem odniesienia jest praca programisty i testera, a nie zawód pentestera. Celem nie jest wykonanie efektownego ataku, tylko umiejętność znalezienia błędu we własnej aplikacji, potwierdzenia go i naprawienia.

Czas trwania

2 dni, 9:00 - 17:00

Program

Pobierz w wersji PDF

Training also available in English .

Przeznaczenie i wymagania

Certyfikaty

Uczestnicy szkolenia otrzymują imienne certyfikaty sygnowane przez ALX.