Szkolenie z Cyberbezpieczeństwa: Szkolenie z Bezpieczeństwa w Testach Oprogramowania (szkolenie dla QA)

Z dokładnymi terminami tego szkolenia zapoznać się można pod poniższym linkiem:

https://niebezpiecznik.pl/szkolenia/bezpieczenstwo-w-testach-oprogramowania-dla-qa/?zai

Po wybraniu terminu prosimy o kontakt mailowy: szkolenia@niebezpiecznik.pl

Tematyka szkolenia, wybrane zagadnienia:

• Narzędzia deweloperskie przeglądarki oraz narzędzia typu lokalnego Proxy i ich wykorzystanie podczas testów bezpieczeństwa
  • Narzędzia deweloperskie przeglądarki w kontekście testów bezpieczeństwa
  • Instalacja i konfiguracja Burp Suite i OWASP ZAP
  • Przechwytywanie i modyfikacja żądań
  • Podmiana nagłówków żądania pozwalająca np. na podszywanie się pod Googlebot lub na omijanie WAF
• Omówienie zakresu podstawowych testów bezpieczeństwa aplikacji webowych i web serwisów, najczęstszych podatności i sposobów ich wykrywania (z wykorzystaniem Burp Suite)
  • Testy pod kątem najczęściej występujących podatności aplikacji webowych m. in. SQL Injection, XSS, CSRF
  • Testy walidacji po stronie serwera poprzez próbę ominięcia walidacji zapewnianej przez GUI
  • Testy dostępu do danych i plików bez zalogowania lub przez użytkowników z innym zakresem uprawnień
  • Testy poprawnego zarządzania sesją użytkownika
  • Testy wymagające dobrej znajomości logiki biznesowej aplikacji
  • Zagrożenia związane z przekazywaniem loginów/haseł/danych osobowych w URL i ich cachowaniem
  • Jakie dane nie powinny być zapisywane w logach?
  • Testy pod kątem najczęściej występujących podatności web serwisów m. in. XXE, Billion Laughs, CDATA Injection
  • proxy narzędzia do testów bezpieczeństwa
  • Najczęstsze błędy konfiguracyjne np. braki nagłówków, ich nieprawidłowa konfiguracja, stacktrace, słabe algorytmy SSL/TLS
  • Omówienie motywacji stojącej za wykonywaniem takich testów na wczesnych etapach projektu
  • Jak rozszerzyć testy funkcjonalne aby znajdować błędy bezpieczeństwa?
• Bezpieczeństwo i użyteczność
  • Jak powinny wyglądać czytelne komunikaty w zakresie bezpieczeństwa i prywatności użytkownika?
  • Użyteczność haseł i jak przekonać użytkownika do korzystania z bezpiecznego hasła?
  • Jak ograniczać czasu trwania sesji i dozwoloną liczbę sesji? Przykładowe rozwiązania z serwisów społecznościowych i stron banków.
  • Case study na przykładzie konfiguracji ustawień prywatności użytkownika
  • Case study na przykładzie komunikatów przeglądarek informujących o ostrzeżeniach dotyczących certyfikatów SSL/TLS
  • Dlaczego trzeba zwrócić uwagę na Privacy by Design i Privacy by Default?
• Testy wydajnościowe z użyciem narzędzia JMeter w kontekście bezpieczeństwa
  • Testy obciążeniowe, przeciążeniowe i ataki DoS
  • Rodzaje ataków DoS
  • JMeter i proxy narzędzia do testów bezpieczeństwa
  • Symulacja ataków z różnych adresów IP poprzez IP Spoofing
  • Wykorzystanie skryptów JMetera do automatycznego skanowania bezpieczeństwa
  • Automatyczne testy bezpieczeństwa z wykorzystaniem JMtera
  • Inne narzędzia do testów DoS
  • Fuzzing z wykorzystaniem JMetera
• Automatyzacja testów bezpieczeństwa (z wykorzystaniem OWASP ZAP, Selenium Webdriver i Pythona)
  • Przegląd najpopularniejszych skanerów, zarówno płatnych jak i open source
  • Omówienie skanerów Burp Suite Professional oraz OWASP ZAP
  • Omówienie często występujących błędów łatwych do wykrycia za pomocą testów automatycznych
  • Automatyczne testy bezpieczeństwa jako element procesów CI/CD
  • Omówienie możliwości OWASP ZAP API i konfiguracja automatycznego skanowania
  • Wykorzystanie testów automatycznych w Selenium do przeprowadzenia testów bezpieczeństwa
  • Automatyczne zgłaszanie błędów lub aktualizacja ich statusu z wykorzystaniem JIRA REST API
  • Automatyczne generowanie raportu z testów
  • Weryfikacja raportów z testów pod kątem wyników fałszywie pozytywnych
• Testy bezpieczeństwa jako element testów akceptacyjnych
  • Jak przygotować plany i scenariusze testów bezpieczeństwa i na jakie dokumenty i metodyki warto się powoływać?
  • Przykładowe dokumenty OPZ i SIWZ zawierające wymagania na testy
  • bezpieczeństwa/penetracyjne
  • Przykładowe wymagania pozafunkcjonalne w zakresie bezpieczeństwa do uwzględnienia w dokumentacji testowej
  • Praktyczne przykłady pokrycia wymagań bezpieczeństwa w przypadkach testowych
  • Jak dzięki niewielkim modyfikacjom można dostosować istniejący przypadek testowy, aby zapewniał pokrycie testami bezpieczeństwa?
  • Wskazówki dotyczące przygotowania raportu z testów bezpieczeństwa
  • Przykłady wymaganych kompetencji m. in. w zakresie certyfikacji
• Od testera do pentestera
  • Jak pokierować karierą aby zdobyć większe doświadczenie w zakresie testów bezpieczeństwa?
  • Wskazówki dotyczące dalszej nauki, dokumenty, książki i metodyki, które warto poznać oraz certyfikacja w zakresie bezpieczeństwa
• Omówienie dokumentów:
  • OWASP Testing Guides
  • OWASP ASVS
  • OWASP TOP10
• Podstawowe certyfikaty z zakresu testów bezpieczeństwa:
  • CEH
  • CompTIA Security+
  • ISTQB Security Tester

Każdy z podpunktów związany jest z praktycznym ćwiczeniem. Podczas omawiania konkretnego ataku albo podatności lub narzędzia, które je wykorzystują, zawsze pokazujemy jak zabezpieczyć aplikację przed tym problemem. Dla przejrzystości konspektu, nie zostało to wyszczególnione powyżej.

Materiały szkoleniowe (zapis prezentacji).

Każdy uczestnik naszych szkoleń musi podpisać deklarację, że poznane ataki i narzędzia będzie wykorzystywał wyłącznie w celu testowania bezpieczeństwa aplikacji własnych lub aplikacji klientów firmy w której pracuje.

Szkolenie odbywa się w formule BYOL (Bring Your Own Laptop). Wymagania: 8GB RAM, 5GB HDD oraz prawa admina! Laptop najlepiej by miał zainstalowane darmowe i dostępne na każdy system operacyjny programy: Burp Suite Community, Java 11, OWASP ZAP, JMeter, przeglądarki (polecamy Firefox i Chrome, tak, mogą przydać się obie, choć nieraz wystarczy jedna). Dla chętnych proponujemy VirtualBox z maszyną wirtualną z Kali Linuxem. Najistotniejsze są programy, z ich pomocą realizujemy laboratoria.

Z dokładnymi terminami tego szkolenia zapoznać się można pod poniższym linkiem:

https://niebezpiecznik.pl/szkolenia/bezpieczenstwo-w-testach-oprogramowania-dla-qa/?zai

Po wybraniu terminu prosimy o kontakt mailowy: szkolenia@niebezpiecznik.pl