Testy penetracyjne aplikacji webowej, szkolenie online w czasie rzeczywistym

Wprowadzenie do bezpieczeństwa aplikacji webowych: pojęcia, skala zagrożeń

• czym jest bezpieczeństwo aplikacji webowej
• różnica między podatnością a incydentem
• najczęstsze źródła luk bezpieczeństwa
• wpływ podatności na biznes
• rola testera w ograniczaniu ryzyka

Podstawy HTTP i analiza żądań/odpowiedzi w kontekście testów podatności

• struktura żądania HTTP
• analiza parametrów w URL i body
• nagłówki HTTP i ich znaczenie
• kody odpowiedzi i ich interpretacja
• manipulacja parametrami w celach testowych

Typowe luki: XSS, SQL Injection, CSRF, Broken Authentication: jak je wykrywać manualnie

• mechanizm działania XSS
• podstawy wykrywania SQL Injection
• scenariusze ataków CSRF
• testowanie mechanizmów logowania
• identyfikacja niepoprawnej autoryzacji

Testowanie formularzy, parametrów URL, nagłówków i plików

• walidacja danych wejściowych
• testowanie pól tekstowych i liczbowych
• manipulacja parametrami w adresie URL
• testowanie uploadu plików
• analiza nagłówków bezpieczeństwa

Użycie OWASP ZAP i Burp Suite w wersji klikanej: bez skryptów

• konfiguracja środowiska testowego
• przechwytywanie ruchu HTTP
• ręczna modyfikacja żądań
• skanowanie podstawowych podatności
• interpretacja wyników narzędzi

Testowanie logowania, sesji, ról i dostępów w aplikacjach

• testowanie mechanizmów uwierzytelniania
• analiza tokenów i ciasteczek sesyjnych
• sprawdzanie wygasania sesji
• testowanie dostępu do zasobów bez uprawnień
• weryfikacja separacji ról

Tworzenie danych testowych do testów bezpieczeństwa

• dane poprawne i niepoprawne
• dane skrajne i nietypowe
• symulacja prób manipulacji
• testowanie danych specjalnych (znaki specjalne, payloady)
• kontrola wpływu danych na system

Dokumentowanie i priorytetyzacja znalezionych luk

• struktura zgłoszenia podatności
• opis wpływu biznesowego
• ocena poziomu ryzyka
• rekomendacje naprawcze
• komunikacja z zespołem technicznym

Praktyczne ćwiczenia na testowej aplikacji (bezpieczne środowisko)

• analiza funkcjonalności aplikacji
• identyfikacja punktów wejścia
• prowadzenie testów manualnych
• dokumentowanie wykrytych luk
• omówienie wyników i wniosków

Wskazówki na przyszłość: jak rozwijać kompetencje bez kodowania

• budowa checklist bezpieczeństwa
• regularne przeglądy OWASP Top 10
• rozwój umiejętności analizy HTTP
• współpraca z zespołem security
• dalsze źródła wiedzy i praktyki

Uczestnicy szkolenia otrzymają materiały szkoleniowe w formie elektronicznej, obejmujące:

• checklistę wspierającą analizę bezpieczeństwa aplikacji i identyfikację najczęściej występujących podatności,
• materiały dotyczące kodów odpowiedzi HTTP wykorzystywanych podczas testowania aplikacji webowych i usług sieciowych,
• materiał wprowadzający do narzędzia OWASP ZAP wraz z przykładami jego wykorzystania podczas testów bezpieczeństwa,
• przykładowy raport z testów bezpieczeństwa prezentujący sposób dokumentowania wyników oraz zgłaszania wykrytych podatności,
• materiały edukacyjne dotyczące rodzajów ataków oraz najczęściej występujących podatności bezpieczeństwa w aplikacjach i systemach informatycznych,
• zestaw ćwiczeń praktycznych realizowanych podczas szkolenia.

Uczestnicy otrzymają również dostęp do materiałów wykorzystywanych podczas warsztatów praktycznych oraz przykładowych scenariuszy związanych z analizą bezpieczeństwa aplikacji i systemów IT.

Usługa dostępna dla uczestników projektu „Małopolski Pociąg do Kariery – sezon 1” oraz „Nowy Start w Małopolsce z EURESem”. Realizacja możliwa z wykorzystaniem bonów szkoleniowych zgodnie z zasadami projektu.

Usługa realizowana będzie w formie zdalnej w czasie rzeczywistym z wykorzystaniem platformy szkoleniowej ClickMeeting.

Uczestnik powinien dysponować:

• komputerem lub laptopem wyposażonym w mikrofon oraz głośniki lub słuchawki,
• stabilnym dostępem do Internetu,
• aktualną przeglądarką internetową (Google Chrome, Microsoft Edge, Mozilla Firefox lub równoważną),
• aktywnym adresem e-mail umożliwiającym otrzymywanie materiałów szkoleniowych oraz informacji organizacyjnych.

Ze względu na praktyczny charakter szkolenia uczestnik powinien posiadać możliwość instalacji bezpłatnego oprogramowania wykorzystywanego podczas zajęć, w szczególności:

• narzędzia OWASP ZAP lub równoważnego oprogramowania wspierającego analizę bezpieczeństwa aplikacji,
• przeglądarki internetowej umożliwiającej wykonywanie ćwiczeń praktycznych,
• oprogramowania umożliwiającego korzystanie z materiałów szkoleniowych udostępnianych przez trenera.

Przed rozpoczęciem szkolenia uczestnicy otrzymają:

• link do platformy szkoleniowej ClickMeeting,
• instrukcję logowania i udziału w zajęciach,
• informacje organizacyjne dotyczące realizacji usługi,
• listę niezbędnego oprogramowania wykorzystywanego podczas warsztatów praktycznych,
• dostęp do materiałów szkoleniowych w formie elektronicznej.

Uczestnik powinien posiadać podstawowe umiejętności obsługi komputera oraz możliwość aktywnego udziału w ćwiczeniach praktycznych związanych z identyfikacją zagrożeń, analizą podatności oraz oceną bezpieczeństwa aplikacji i systemów informatycznych.