Bezpieczne tworzenie aplikacji webowych i API według OWASP, szkolenie online w czasie rzeczywistym

Wprowadzenie do bezpieczeństwa aplikacji, czym jest, dlaczego ma znaczenie

• czym jest bezpieczeństwo aplikacji (Application Security)?
• różnica między bezpieczeństwem infrastruktury a bezpieczeństwem kodu
• koszt podatności w projektach produkcyjnych
• rola zespołu developerskiego w Secure SDLC
• „shift left security”, bezpieczeństwo od pierwszej linii kodu

OWASP Top 10, przegląd najważniejszych podatności (np. XSS, SQLi, CSRF, IDOR)

• czym jest OWASP Top 10 i jak z niego korzystać
• SQL Injection, mechanizm i skutki
• Cross-Site Scripting (XSS), typy i wektory ataku
• CSRF, wykorzystanie zaufanej sesji użytkownika
• IDOR i błędy w kontroli dostępu
• Broken Authentication i błędy autoryzacji
• praktyczne przykłady podatności w kodzie

Błędy w walidacji danych wejściowych, jak ich unikać i jak je testować

• walidacja po stronie klienta vs serwera
• whitelist vs blacklist validation
• ochrona przed injection (SQL, NoSQL, command injection)
• testowanie danych granicznych i niepoprawnych
• automatyczne testy walidacji

Bezpieczne uwierzytelnianie, autoryzacja i zarządzanie sesją

• różnica między uwierzytelnianiem a autoryzacją
• mechanizmy sesji i tokenów (JWT)
• kontrola dostępu oparta na rolach (RBAC)
• najczęstsze błędy w implementacji logowania
• zabezpieczenie przed przejęciem sesji

Przechowywanie danych wrażliwych, hasła, tokeny, szyfrowanie

• hashowanie haseł (bcrypt, Argon2)
• sól (salt) i ochrona przed rainbow tables
• przechowywanie tokenów dostępowych
• podstawy szyfrowania symetrycznego i asymetrycznego
• ochrona danych w bazie i w logach

Ataki związane z ujawnianiem informacji, nagłówki, błędy serwera, debugowanie

• ujawnianie stack trace i komunikatów błędów
• nagłówki HTTP i ich znaczenie (Security Headers)
• konfiguracja środowiska produkcyjnego
• wycieki danych w logach
• minimalizacja informacji zwracanych w odpowiedzi API

Bezpieczna komunikacja, HTTPS, CORS, zabezpieczenia API

• rola TLS/HTTPS w komunikacji
• konfiguracja certyfikatów
• CORS, mechanizm i błędy konfiguracyjne
• rate limiting i ochrona przed brute force
• zabezpieczenia endpointów API

Narzędzia wspierające analizę podatności, ręczne i automatyczne skanery (np. OWASP ZAP)

• czym jest SAST i DAST?
• podstawy pracy z OWASP ZAP
• interpretacja raportów z narzędzi
• integracja skanów bezpieczeństwa w CI/CD
• ograniczenia narzędzi automatycznych

Dobre praktyki „secure coding”, checklisty, wzorce, standardy

• zasada najmniejszych uprawnień (Least Privilege)
• bezpieczne domyślne ustawienia (secure by default)
• standardy kodowania pod kątem bezpieczeństwa
• przeglądy kodu pod kątem podatności
• checklisty bezpieczeństwa przed release

Praktyczne ćwiczenia, analiza i poprawa niebezpiecznego kodu

• analiza przykładowej podatności w kodzie
• identyfikacja źródła problemu
• zaprojektowanie bezpiecznej wersji rozwiązania
• testowanie podatności przed i po poprawce
• omówienie wpływu zmian na architekturę

Uczestnicy szkolenia otrzymają materiały szkoleniowe w formie elektronicznej, obejmujące:

• checklistę wspierającą analizę bezpieczeństwa aplikacji i identyfikację najczęściej występujących podatności,
• materiały dotyczące kodów odpowiedzi HTTP wykorzystywanych podczas testowania aplikacji webowych i usług sieciowych,
• materiał wprowadzający do narzędzia OWASP ZAP wraz z przykładami jego wykorzystania podczas testów bezpieczeństwa,
• przykładowy raport z testów bezpieczeństwa prezentujący sposób dokumentowania wyników oraz zgłaszania wykrytych podatności,
• materiały edukacyjne dotyczące rodzajów ataków oraz najczęściej występujących podatności bezpieczeństwa w aplikacjach i systemach informatycznych,
• zestaw ćwiczeń praktycznych realizowanych podczas szkolenia.

Uczestnicy otrzymają również dostęp do materiałów wykorzystywanych podczas warsztatów praktycznych oraz przykładowych scenariuszy związanych z analizą bezpieczeństwa aplikacji i systemów IT.

Usługa dostępna dla uczestników projektu „Małopolski Pociąg do Kariery – sezon 1” oraz „Nowy Start w Małopolsce z EURESem”. Realizacja możliwa z wykorzystaniem bonów szkoleniowych zgodnie z zasadami projektu.

Usługa realizowana będzie w formie zdalnej w czasie rzeczywistym z wykorzystaniem platformy szkoleniowej ClickMeeting.

Uczestnik powinien dysponować:

• komputerem lub laptopem wyposażonym w mikrofon oraz głośniki lub słuchawki,
• stabilnym dostępem do Internetu,
• aktualną przeglądarką internetową (Google Chrome, Microsoft Edge, Mozilla Firefox lub równoważną),
• aktywnym adresem e-mail umożliwiającym otrzymywanie materiałów szkoleniowych oraz informacji organizacyjnych.

Ze względu na praktyczny charakter szkolenia uczestnik powinien posiadać możliwość instalacji bezpłatnego oprogramowania wykorzystywanego podczas zajęć, w szczególności:

• narzędzia OWASP ZAP lub równoważnego oprogramowania wspierającego analizę bezpieczeństwa aplikacji,
• przeglądarki internetowej umożliwiającej wykonywanie ćwiczeń praktycznych,
• oprogramowania umożliwiającego korzystanie z materiałów szkoleniowych udostępnianych przez trenera.

Przed rozpoczęciem szkolenia uczestnicy otrzymają:

• link do platformy szkoleniowej ClickMeeting,
• instrukcję logowania i udziału w zajęciach,
• informacje organizacyjne dotyczące realizacji usługi,
• listę niezbędnego oprogramowania wykorzystywanego podczas warsztatów praktycznych,
• dostęp do materiałów szkoleniowych w formie elektronicznej.

Uczestnik powinien posiadać podstawowe umiejętności obsługi komputera oraz możliwość aktywnego udziału w ćwiczeniach praktycznych związanych z identyfikacją zagrożeń, analizą podatności oraz oceną bezpieczeństwa aplikacji i systemów informatycznych.