Säker utvecklare .NET (inkl. OWASP) Träningskurs

Att implementera en säker nätverksapplikation kan vara utmanande, även för utvecklare som tidigare har använt olika kryptografiska byggstenar (såsom kryptering och digitala signaturer). För att deltagarna ska förstå rollen och användningen av dessa kryptografiska grundelement läggs först ett solidt fundament på de huvudsakliga kraven för säker kommunikation – säker bekräftelse, integritet, konfidentialitet, fjärridentifiering och anonymitet – samtidigt som de vanliga problemen som kan skada dessa krav samt verkliga lösningar presenteras.

Eftersom kryptografi är en kritisk aspekt av nätverkssäkerhet diskuteras också de viktigaste kryptografiska algoritmer inom symmetrisk kryptering, hashning, asymmetrisk kryptering och nyckelöverenskommelse. Istället för att presentera ett djupt matematiskt underlag diskuteras dessa element från en utvecklarperspektiv, med typiska användningsexempel och praktiska överväganden relaterade till användningen av kryptografi, såsom offentliga nyckelinfrastrukturer. Säkerhetsprotokoll inom många områden av säker kommunikation introduceras, med en djupgående diskussion om de mest använda protokollfamiljerna som IPSEC och SSL/TLS.

Vanliga kryptografiska sårbarheter diskuteras både i samband med vissa kryptografiska algoritmer och kryptografiska protokoll, såsom BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE och liknande, samt RSA-tidsattacker. I varje fall beskrivs de praktiska övervägandena och potentiella konsekvenserna för varje problem, igen utan att gå in på djupare matematiska detaljer.

Slutligen, eftersom XML-teknologi är central för datautbyte av nätverksapplikationer, beskrivs säkerhetsaspekterna av XML. Detta inkluderar användningen av XML inom webbaserade tjänster och SOAP-meddelanden samt skyddsåtgärder som XML-signatur och XML-kryptering – liksom svagheter i dessa skyddsåtgärder och XML-specifika säkerhetsproblem såsom XML-injektion, XML External Entity (XXE)-attacker, XML-bomber och XPath-injektion.

Deltagare som går denna kurs kommer

• Förstå grundbegrepp inom säkerhet, IT-säkerhet och säker kodering
• Förstå kraven för säker kommunikation
• Lära kännetecken på nätverksattacker och försvar på olika OSI-lager
• Hava en praktisk förståelse av kryptografi
• Förstå viktiga säkerhetsprotokoll
• Förstå vissa moderna attacker mot kryptosystem
• Få information om några relaterade sårbarheter
• Förstå säkerhetsbegrepp för webbaserade tjänster
• Få källor och vidare läsning om goda praxis för säker kodering

Målgrupp

Utvecklare, Professionella

För att skriva säker C- och C++-kod krävs noggrann försvar mot skadlig utnyttjande, minneskorruption och kringgåenden av inmatningsvalidering. Detta program undersöker sårbarhetsmönster inklusive buffertöversvämningar, användning efter frigöring (use-after-free), heltalsöverflöden och typförväxlingar. Deltagarna tillämpar riktlinjer för säker kodning, statiska analysverktyg och tekniker för försvarande programmering för att eliminera svagheter, upprätthålla inmatningsrensning och leverera förstärkt mjukvara som är motståndskraftig mot cyberattacker.

Även erfarna Java-utvecklare behärskar inte alltid alla de säkerhetstjänster som Java erbjuder, och är heller inte alltid medvetna om de olika sårbarheter som är relevanta för webbapplikationer skrivna i Java.

Kursen – förutom att presentera säkerhetskomponenterna i Standard Java Edition – behandlar säkerhetsfrågor kopplade till Java Enterprise Edition (JEE) och webbtjänster. Diskussionen om specifika tjänster inleds med grunderna inom kryptografi och säker kommunikation. Olika övningar handlar om deklarat och programmatiskt säkerhetsteknik inom JEE, samtidigt som både transportlager- och slut-i-slut-säkerhet för webbtjänster diskuteras. Användningen av alla komponenter presenteras genom flera praktiska övningar, där deltagarna kan prova de diskuterade API:erna och verktygen själva.

Kursen går även igenom och förklarar de vanligaste och allvarligaste programmeringsbristerna inom Java-språket och plattformen samt webbrelerade sårbarheter. Förutom de vanliga buggarna som Java-utvecklare begår, täcker de presenterade säkerhetssårbarheterna både språkspecifika problem och problem som uppstår från körningsmiljön. Alla sårbarheter och relevanta attacker demonstreras genom lättförståeliga övningar, följt av rekommenderade kodningsriktlinjer och möjliga motåtgärder.

Deltagare som går den här kursen kommer att

• Förstå grundbegrepp inom säkerhet, IT-säkerhet och säker kodskrivning
• Lära sig om webbsårbarheter utöver OWASP Top Ten och veta hur man undviker dem
• Förstå säkerhetskoncept för webbtjänster
• Lära sig att använda olika säkerhetsfunktioner i Java-utvecklingsmiljön
• Ha en praktisk förståelse för kryptografi
• Förstå säkerhetslösningarna för Java EE
• Lära sig om vanliga kodningsfel och hur man undviker dem
• Få information om några nyliga sårbarheter i Java-ramverket
• Få praktisk kunskap i att använda säkerhetstestningsverktyg
• Få källor och vidare läsning om säkra kodningsmetoder

Målgrupp

Utvecklare

Det finns idag flera programmeringsspråk tillgängliga för att kompileria kod till .NET- och ASP.NET-miljöerna. Denna miljö erbjuder kraftfulla verktyg för säkerhetsutveckling, men utvecklare måste veta hur de kan applicera programmeringstekniker på arkitektur- och kodnivå för att implementera önskad säkerhetsfunkionalitet, undvika sårbarheter eller begränsa deras utnyttjande.

Kursens mål är att lära utvecklare, genom många praktiska övningar, hur man förhindrar o betrodd kod från att utföra privilegierade åtgärder, skydda resurser genom stark autentisering och auktorisation, tillhandahålla fjärrfunktionssamtal (RPC), hantera sessioner, introducera olika implementationer för viss funktionalitet, samt mycket mer.

Introduktionen av olika sårbarheter börjar med att presentera typiska programmeringsproblem som begås vid användning av .NET, medan diskussionen om sårbarheter i ASP.NET också behandlar olika miljöinställningar och deras effekter. Avslutningsvis behandlar ämnet om ASP.NET-specifika sårbarheter inte bara allmänna säkerhetsutmaningar för webbapplikationer, utan också särskilda problem och attackmetoder, såsom attacker mot ViewState eller strängavslutningsattacker.

Deltagare som går denna kurs kommer

• att förstå grundläggande koncept inom säkerhet, IT-säkerhet och säkra kodningsmetoder
• att lära sig om webbsårbarheter bortom OWASP Top Ten och veta hur man undviker dem
• att lära sig använda olika säkerhetsfunktioner i .NET-utvecklingsmiljön
• att få praktisk kunskap i användningen av säkerhetstestningsverktyg
• att lära sig om vanliga kodningsfel och hur man undviker dem
• att få information om några nyligen upptäckta sårbarheter i .NET och ASP.NET
• att få källor och vidare läsning om säker kodningspraxis

Målgrupp

Utvecklare

Kursen ger PHP-utvecklare de nödvändiga färdigheterna för att göra deras applikationer motståndskraftiga mot samtida attacker via internet. Webbansårbarheter diskuteras genom PHP-baserade exempel som går bortom OWASP:s top ten, och tar upp olika injektionsattacker, scriptspritsinjektioner, attacker mot hanteringen av sessioner i PHP, osäkra direkta objektreferenser, problem med filuppladdning och många andra. Sårbarheter relaterade till PHP introduceras grupperade efter de vanliga sårbarhetstyperna: saknad eller felaktig inmatningsvalidering, felaktig hantering av fel och undantag, felaktig användning av säkerhetsfunktioner samt tids- och tillståndsbaserade problem. För den senare gruppen diskuteras attacker som kringgående av open_basedir, denial-of-service genom magic float eller hash-table-kollisionsattacker. I alla fall får deltagarna en introduktion till de viktigaste teknikerna och funktionerna som ska användas för att mildra de uppradade riskerna.

En särskild fokus ligger på klient-sidig säkerhet, där man tacklar säkerhetsproblem med JavaScript, Ajax och HTML5. Ett antal säkerhetsrelaterade tillägg till PHP introduceras som hash, mcrypt och OpenSSL för kryptografi, samt Ctype, ext/filter och HTML Purifier för inmatningsvalidering. De bästa hårdningsmetoderna ges i samband med PHP-konfiguration (sättning av php.ini), Apache och servern generellt. Slutligen ges en översikt över olika säkerhetstestningsverktyg och tekniker som utvecklare och testare kan använda, inklusive säkerhetsskannrar, penetrationstestning, exploit-packar, sniffer-program, proxy-servrar, fuzzing-verktyg och statiska källkodsanalysatorer.

Både introduktionen av sårbarheter och konfigurationsmetoderna stöds av ett antal praktiska övningar som demonstrerar konsekvenserna av framgångsrika attacker, visar hur man applicerar mildringstekniker och introducerar användningen av olika tillägg och verktyg.

Deltagare som går denna kurs kommer att

• Förstå grundkoncepten inom säkerhet, IT-säkerhet och säker kodning.
• Lära sig webbansårbarheter bortom OWASP Top Ten och veta hur man undviker dem.
• Lära sig om klient-sidiga sårbarheter och god praxis för säker kodning.
• Få en praktisk förståelse av kryptografi.
• Lära sig använda olika säkerhetsfunktioner i PHP.
• Lära sig om vanliga programmeringsmisstag och hur man undviker dem.
• Informeras om aktuella sårbarheter inom PHP-ramverket.
• Få praktisk kunskap i användningen av säkerhetstestningsverktyg.
• Få källor och vidare läsning angående god praxis för säker kodning.

Målgrupp

Utvecklare

Det kombinerade SDL-kärnutbildningen ger insikt i säker programdesign, -utveckling och -testning genom Microsoft Secure Development Lifecycle (SDL). Den ger en överblick på grundläggande byggnadsstenar i SDL, följt av designmetoder för att identifiera och åtgärda brister i tidiga utvecklingssteg.

När det gäller utvecklingsfasen ger kursen en överblick över de typiska säkerhetsrelevanta programmeringsfel som finns både i hanterade och inbyggda koder. Angriffsmetoder presenteras för de diskuterade sårbarheterna tillsammans med associerade åtgärdsmetoder, alla förklarade genom en mängd praktiska övningar som ger deltagarna roligt med live-hackning. Efter en introduktion till olika säkerhetsprovningstechniker demonstreras effektiviteten av olika provningsverktyg. Deltagarna kan förstå hur dessa verktyg fungerar genom en mängd praktiska övningar genom att använda verktygen på den redan diskuterade sårbara koden.

Deltagare som deltar i denna kurs kommer att

Förstå grundläggande koncept inom säkerhet, IT-säkerhet och säker programmering

Kännas väl till de viktigaste stegen i Microsoft Secure Development Lifecycle

Lär sig om säkra design- och utvecklingspraktiker

Lär sig om principer för säker implementering

Förstå säkerhetsprovningsteknik

• Få källor och ytterligare läsning om säkra programmeringspraktiker

Målgrupp

Utvecklare, Chefer

I denna lärarinstruerade, livekurs i Sverige, kommer deltagarna att lära sig hur man formulerar den rätta säkerhetsstrategin för att möta DevOps-säkerhetens utmaning.

Denna världsklassa, moderna, praktiska workshop dycker djupt in i den kritiska verkligheten av modern CI/CD-pipelinsäkerhet. Utformad för säkerhetsprofiler, DevOps-ingenjörer och utvecklare som vill mästera avancerade pipelinförsvar, blandar träningsprogrammet livliga angrepsimulationer med branschledande verktyg och praktiska försvarsstrategier.

EC-Council Certified DevSecOps Engineer (ECDE) är en praktisk kurs som syftar till att utrusta professionella med färdigheter att integrera säkerhet i hela DevOps livscykeln, vilket möjliggör säker programutveckling från planering till distribution.

Denna instruktörsledda, live-training (online eller på plats) riktar sig till mellanstadie-nivåprogrammerare och DevOps professionella som vill integrera säkerhetsåtgärder i CI/CD-pipelines, för att säkerställa säker och kompatibel kodleverans.

Vid kursens slut kommer deltagarna att kunna:

• Förstå principerna och praxiserna för DevSecOps.
• Säkra varje steg i CI/CD-pipelinen med hjälp av automatiserade verktyg.
• Implementera säkra kodpraxis och sårbarhetsskanning.
• Förbereda sig för ECDE-certifiering med praktiska laborationer och genomgång.

Kursformat

• Interaktiv föreläsning och diskussion.
• Hands-on användning av DevSecOps-verktyg i simulerade pipelines.
• Ledda övningar som fokuserar på säker utveckling och distribution.

Anpassningsalternativ för kursen

• För att begära en anpassad utbildning för denna kurs baserat på ditt teams arbetsflöden eller verktygskedja, kontakta oss för att ordna.

Utgående från senaste riktlinjerna för OWASP GenAI Security Project kommer deltagarna att lära sig identifiera, utvärdera och mildra AI-specifika hot genom praktiska övningar och scenarier från verkligheten.

Detta instruktörsledda, live-träning i Sverige (online eller på plats) är riktat till webbutvecklare och ledare som önskar utforska och implementera OWASP Top 10 referensstandard för att säkra sina webbapplikationer.

Vid slutet av denna träning kommer deltagarna att kunna planera, implementera, säkra och övervaka sina webbtjänster och applikationer med hjälp av OWASP Top 10 dokument.

Denna instruktörsledda, live-träning i Sverige (online eller på plats) riktas till utvecklare, ingenjörer och arkitekter som vill använda WSTG-testramverket, principer och tekniker för att säkra sina webbapplikationer och -tjänster.

Till slut av denna träning kommer deltagarna att kunna:

• Använda WSTG för att implementera testprocesser och tekniker i livscykeln för webbutveckling.
• Utforska olika testtekniker för att anpassa WSTG-ramverket baserat på företagsbehov.
• Förse de olika säkerhetstestmetoderna för att skydda webbapplikationer från risker och angrepp.
• Skapa en utvärderingsrapport för att dokumentera resultatet av säkerhetstester.

Denna Kurs i Sverige syftar till att hjälpa till med följande:

1. Hjälp utvecklare att behärska teknikerna för att skriva säker kod
2. Hjälp mjukvarutestare att testa säkerheten hos applikationen innan publicering i produktionsmiljö
3. Hjälp mjukvaruarkitekter att förstå riskerna som omger applikationerna
4. Hjälp teamledare att fastställa säkerhetsbaslinjer för utvecklare
5. Hjälp webbmästare att konfigurera servrarna för att undvika felkonfigurationer

Denna kurs behandlar säkra kodningskoncept och principer med Java genom Open Web Application Security Project (OWASP) metodologi för testning. Open Web Application Security Project är en onlinegemenskap som skapar fritt tillgängliga artiklar, metodologier, dokumentation, verktyg och teknologier inom fältet för webbapplikationssäkerhet.