Sikker utvikling med .NET (inkl. OWASP) Treningskurs

Det kan være krevende å implementere en sikret nettverksapplikasjon, selv for utviklere som kanskje har brukt forskjellige kryptografiske byggemoduler (som kryptering og digitale signaturer) på forhånd. For at deltakerne skal forstå rollen og bruken av disse kryptografiske primære elementene, gis det først et solid grunnlag med hovedkravene for sikker kommunikasjon – sikker bekreftelse, integritet, konfidensialitet, fjernidentifikasjon og anonymitet – samtidig som typiske problemer som kan skade disse kravene presenteres sammen med løsninger fra den virkelige verden.

Siden kryptografi er en kritisk del av nettsikkerheten, diskuteres også de viktigste kryptografiske algoritmene i symmetrisk kryptering, hashing, asymmetrisk kryptering og nøkkelavtale. I stedet for å presentere et dyp matematisk grunnlag, diskuteres disse elementene fra et utviklerperspektiv, ved å vise typiske brukseksempler og praktiske hensyn knyttet til bruken av krypto, som offentlige nøkkelinfrastrukturer (PKI). Sikkerhetsprotokoller innen mange områder av sikker kommunikasjon introduseres, med en grundig diskusjon av de mest brukte protokollfamilier som IPSEC og SSL/TLS.

Typiske kryptografiske sårbarheter diskuteres både i forbindelse med bestemte kryptografiske algoritmer og kryptografiske protokoller, som BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE og lignende, samt RSA-timingangrepet. I hvert tilfelle beskrives de praktiske hensynene og potensielle konsekvensene for hvert problem, igjen uten å gå dypt ned i matematiske detaljer.

Sluttelig, ettersom XML-teknologi er sentral for datautveksling ved nettverksapplikasjoner, beskrives sikkerhetsaspektene ved XML. Dette inkluderer bruken av XML innen webtjenester og SOAP-meldinger sammen med beskyttelsestiltak som XML-signatur og XML-kryptering – samt svakheter i disse beskyttelsestiltakene og XML-spesifikke sikkerhetsproblemer som XML-injeksjon, XML-eksterne entiteter (XXE)-angrep, XML-bomber og XPath-injeksjon.

Deltakere på dette kurset vil

• Få forståelse for grunnleggende sikkerhetskonsepter, IT-sikkerhet og secure coding
• Få forståelse for kravene til sikker kommunikasjon
• Lære om nettverksangrep og forsvar på ulike OSI-lag
• Ha en praktisk forståelse av kryptografi
• Få kjennskap til essensielle sikkerhetsprotokoller
• Få forståelse for noen nylige angrep mot kryptosystemer
• Få informasjon om noen nylige relaterte sårbarheter
• Få forståelse for sikkerhetskonsepter i webtjenester
• Få kildehenvisninger og videre lesning om secure coding-praksis

Målgruppe

Utviklere, fagfolk

Skriving av sikker kode i C og C++ krever grundig forsvar mot ondsinnet utnyttelse, minnekorruption og omgåing av inndatavalidering. Dette kurset gjennomgår sårbarhetsmønstre som bufferoverløp, use-after-free, heltalls-overflow og typeforveksling. Deltakerne anvender retningslinjer for sikker koding, statiske analyseverktøy og defensiv programmeringsteknikk for å eliminere svakheter, håndheve inndatarensning og levere hardnet programvare som er motstandsdyktig overfor cyberangrep.

Også erfarne Java-programmerere behersker ikke nødvendigvis de ulike sikkerhetstjenestene som tilbys av Java, og er heller ikke oppmerksomme på de ulike sårbarhetene som er relevante for webapplikasjoner skrevet i Java.

Kurset – ut over å introdusere sikkerhetskomponentene i Standard Java Edition – handler om sikkerhetsproblemer i Java Enterprise Edition (JEE) og webtjenester. Diskusjonen av spesifikke tjenester forutsettes av grunnleggende prinsipper for kryptografi og sikker kommunikasjon. Diverse øvelser håndterer deklarativ og programmeringssikkerhetsteknikker i JEE, mens transportlag-sikkerhet og ende-til-ende-sikkerhet for webtjenester diskuteres. Bruken av alle komponenter presenteres gjennom flere praktiske øvelser, der deltakerne kan prøve ut de diskuterte API-ene og verktøyene selv.

Kurset gjennomgår også og forklarer de mest hyppige og alvorlige programmeringsfeilene i Java-språket og plattformen samt web-relaterte sårbarheter. I tillegg til de typiske feilene som begås av Java-programmerere, dekket de introduserte sikkerhetssårbarhetene både språkspesifikke problemer og problemer som stammer fra kjøretidsmiljøet. Alle sårbarheter og de relevante angrepene blir demonstrert gjennom lettfattelige øvelser, etterfulgt av anbefalte kodegeneringsretningslinjer og mulige avbøtningsteknikker.

Deltakere som går dette kurset vil

• Forstå grunnleggende sikkerhetsbegreper, IT-sikkerhet og secure coding
• Lære om web-sårbarheter utover OWASP Top Ten og vite hvordan man unngår dem
• Forstå sikkerhetskonsepter for webtjenester
• Lære å bruke ulike sikkerhetsfunksjoner i Java-utviklingsmiljøet
• Ha en praktisk forståelse av kryptografi
• Forstå sikkerhetsløsninger i Java EE
• Lære om vanlige kodingsfeil og hvordan man unngår dem
• Få informasjon om noen nylige sårbarheter i Java-rammeverket
• Få praktisk kunnskap i bruk av sikkerhetstestverktøy
• Få kilder og videre lesning om secure coding-praksis

Målgruppe

Utviklere

I dag finnes det flere programmeringsspråk som kan kompilere kode til .NET- og ASP.NET-miljøene. Dette miljøet tilbyr kraftige verktøy for sikkerhetsutvikling, men utviklere bør vite hvordan de anvender programmeteknikker på arkitektur- og kodningsnivå for å implementere ønsket sikkerhetsfunksjonalitet, unngå sårbarheter eller begrense utnyttelse av disse.

Målet med dette kurset er å undervise utviklere i hvordan man forhindrer upålitelig kode fra å utføre privilegerte handlinger, beskytte ressurser gjennom sterk autentisering og autorisasjon, tilby eksterne prosedyreanrop, håndtere økter, introdusere ulike implementeringer for bestemt funksjonalitet, og mye mer, gjennom mange praktiske øvelser.

Introduksjonen av ulike sårbarheter begynner med å presentere typiske programmeringsfeil begått ved bruk av .NET, mens diskusjonen om sårbarhetene i ASP.NET også tar opp ulike miljøinnstillinger og deres effekter. Til slutt handler emnet med ASP.NET-spesifikke sårbarheter ikke bare om generelle utfordringer innen webapplikasjonssikkerhet, men også om spesielle problemer og angrepsmetoder som å angripe ViewState eller string-termination-angrep.

Deltakere på dette kurset vil

• Forstå grunnleggende begreper om sikkerhet, IT-sikkerhet og sikker koding
• Lære om websårbarheter utover OWASP Top Ten og hvordan man unngår dem
• Lære å bruke ulike sikkerhetsfunksjoner i .NET-utviklingsmiljøet
• Få praktisk kunnskap om bruk av verktøy for sikkerhetstesting
• Lære om typiske kodefeil og hvordan man unngår dem
• Få informasjon om noen nylige sårbarheter i .NET og ASP.NET
• Få kilder og videre lesning om praksiser for sikker koding

Målgruppe

Utviklere

Kurset gir nødvendige ferdigheter for PHP-utviklere som gjør applikasjonene deres resistente mot samtidige angrep via internett. Sårbarheter på nettverk diskuteres gjennom PHP-eksempler som går ut over OWASP's topp ti, og omhandler ulike injeksjonsangrep, script-injeksjoner, angrep mot håndteringen av økt i PHP, usikre direkte objektreferanser, problemer med filopplasting og mange andre. Sårbarheter relatert til PHP presenteres gruppert etter vanlige typologier: manglende eller feilaktig innspeksjon (validering) av input, feil håndtering av feilmeldinger og unntak, feil bruk av sikkerhetsfunksjoner og tid- og tilstand-relaterte problemer. For sistnevnte diskuterer vi angrep som å omgå open_basedir, denial-of-service via "magic float" eller hash-table-kollisjonsangrep. Deltakerne vil i alle tilfeller bli kjent med de viktigste teknikkene og funksjonene som bør brukes for å mildne nevnte risiki.

Det legges stor vekt på klientsiden, der man behandler sikkerhetsutfordringer knyttet til JavaScript, Ajax og HTML5. En rekke PHP-utvidelser relatert til sikkerhet presenteres, som hash, mcrypt og OpenSSL for kryptografi, samt Ctype, ext/filter og HTML Purifier for innspeksjon av input. Beste praksis for hardening (herding) gis i sammenheng med PHP-konfigurasjon (innstilling av php.ini), Apache og serveren generelt. Til slutt gis det en oversikt over ulike verktøy og teknikker for sikkerhetstesting som utviklere og testere kan bruke, inkludert sikkerhetsskannere, penetrasjonstesting og utnyttelsespakker (exploit packs), snifferverktøy, proxy-servere, fuzzing-verktøy og statiske kildekodeanalysatorer.

Både presentasjonen av sårbarheter og konfigurasjonspraksis støttes av flere praktiske øvelser som demonstrerer konsekvensene av vellykkede angrep, viser hvordan man anvender teknikker for å redusere risiko, og introduserer bruken av ulike utvidelser og verktøy.

Deltakere på dette kurset vil

• Forstå grunnleggende sikkerhetsbegreper, IT-sikkerhet og sikker koding
• Lære om sårbarheter i nettapplikasjoner som går ut over OWASP Top Ten, og vite hvordan man unngår dem
• Lære om klientside-sårbarheter og praksis for sikker koding
• Ha en praktisk forståelse av kryptografi
• Lære å bruke ulike sikkerhetsfunksjoner i PHP
• Lære om typiske feil i koding og hvordan man unngår dem
• Være oppdatert om nyere sårbarheter i PHP-rammeverket
• Oppnå praktisk kunnskap om bruk av verktøy for sikkerhetstesting
• Få kilder og videre lesning om praksis for sikker koding

Målgruppe

Utviklere

Det kombinerte SDL-kjernen gir innblikk i sikker programvareutforming, -utvikling og -testing gjennom Microsoft Secure Development Lifecycle (SDL). Den gir en nivå 100-oversikt over de grunnleggende byggesteinene til SDL, fulgt av designmetoder for å oppdage og rette opp i feil på tidlige stadier av utviklingsprosessen.

Når det gjelder utviklingsfasen, gir kurset en oversikt over de typiske sikkerhetsrelevant programmeringsfeilene for både managed og native kode. Angrepsmetoder blir presentert for de diskuterte sårbarhetene, sammen med tilhørende mitigeringsteknikker, alt forklart gjennom et antall praktiske øvelser som gir deltakerne leveleg hacking-fun. Introduksjon av ulike sikkerhetstestingsmetoder følges opp av demonstrasjonen av effektiviteten til ulike testverktøy. Deltakerne kan forstå hvordan disse verktøyene fungerer gjennom et antall praktiske øvelser ved å bruke verktøyene på den allerede diskuterte sårbar kode.

Deltakere som tar dette kurset vil

Forstå grunnleggende konsepter om sikkerhet, IT-sikkerhet og sikker kodning

Lære de viktigste trinnene i Microsoft Secure Development Lifecycle

Lære sikre design- og utviklingspraksiser

Lære om prinsipper for sikker implementering

Forstå metode for sikkerhetstesting

• Få kildeverk og videre læsestoff om sikre kodningspraksiser

Målgruppe

Utviklere, Lederer

På dette instruktørledede, live-kurset i Norge vil deltakerne lære å formulere den riktige sikkerhetsstrategien for å møte DevOps sikkerhetsutfordringen.

Dette er en verdensklasse, siste kant, håndig workshop som drar deltagere inn i de kritiske realitetene rundt moderne CI/CD-pipelinesekuritet. Laget for sikkerhetsexperter, DevOps-ingeniører og utviklere som ønsker å mestre avansert pipelinedefensiv teknikk, blander treningen live angrepssimuleringer med bransjens førende verktøy og praksisbaserte forsvarsmetoder.

EC-Council Certified DevSecOps Engineer (ECDE) er en praktisk kurs som er designet for å utstyre fagpersoner med ferdigheter til å innlemme sikkerhet gjennom DevOps livssyklusen, slik at sikker programvareutvikling blir mulig fra planlegging til utplasserings.

Denne instruktørledede, direkte treningen (online eller på sted) er rettet mot mellomnivå software- og DevOps fagpersoner som ønsker å integrere sikkerhetspraksiser i CI/CD-pipelines, og sikre sikker og samsvarende kodeleveranser.

Ved slutten av denne treningen vil deltakerne kunne:

• Forstå prinsippene og praksisene i DevSecOps.
• Sikre hver fase i CI/CD-pipeline ved hjelp av automatiserte verktøy.
• Implementere sikre kodingspraksiser og sårbarhetsskanning.
• Forberede seg på ECDE-sertifiseringen med praktiske laboratorier og gjennomgang.

Format på kurset

• Interaktiv forelesning og diskusjon.
• Håndtering av DevSecOps-verktøy i simulerte pipelines.
• Veiledede øvelser som fokuserer på sikker utvikling og utplasserings.

Kursets tilpassingsmuligheter

• For å be om en tilpasset trening for dette kurset basert på ditt teams arbeidsflyt eller verktøykjede, vennligst kontakt oss for å avtale.

Basert på den nyeste veiledningen fra OWASP GenAI Security Project, vil deltakerne lære å identifisere, vurdere og avbøte AI-spesifikke trusler gjennom praktiske øvelser og scenarier fra virkeligheten.

Dette instruktørførte, live-treningen i Norge (online eller på stedet) er rettet mot webutviklere og ledere som ønsker å utforske og implementere OWASP Top 10 referansestandard for å sikre deres webapplikasjoner.

Ved treningens slutt vil deltakerne kunne strategisere, implementere, sikre og overvåke sine webapplikasjoner og tjenester ved hjelp av OWASP Top 10-dokumentet.

Denne instruktørledede, live-opplæringen i Norge (online eller på stedet) er rettet mot utviklere, ingeniører og arkitekter som ønsker å bruke WSTGs testrammeverk, prinsipper og teknikker for å sikre sine nettapplikasjoner og tjenester.

Ved slutten av denne opplæringen vil deltakerne kunne:

• Bruk WSTG til å implementere testprosesser og -teknikker i livssyklusen for nettutvikling.
• Utforsk ulike testteknikker for å tilpasse WSTG-rammeverket basert på forretningsbehov.
• Utfør ulike sikkerhetstestingsmetoder for å beskytte nettapplikasjoner mot risikoer og angrep.
• Lag en vurderingsrapport for å dokumentere funn og resultater fra sikkerhetstesting.

Denne Kursen i Norge har som mål å hjelpe med følgende:

1. Hjelpe utviklere med å mestre teknikkene for å skrive sikker kode
2. Hjelpe programvaretestere med å teste sikkerheten i applikasjonen før publisering i produksjonsmiljøet
3. Hjelpe programvarearkitekter med å forstå risikoene knyttet til applikasjonene
4. Hjelpe teamleedere med å sette sikkerhetsgrunnlinjer for utviklere
5. Hjelpe nettverksansvarlige med å konfigurere serverne for å unngå feilkonfigurasjoner

Dette kurset dekker sikre kodingskonsepter og prinsipper med Java gjennom Open Web Application Security Project (OWASP) metoder for testing. Open Web Application Security Project er et online-fellesskap som skaper fritt tilgjengelige artikler, metodologier, dokumentasjon, verktøy og teknologier innen feltet webapplikasjonssikkerhet.