БТ07

Безопасность Web-приложений

Вендор

Информзащита

Тематика

Технология обеспечения информационной безопасности

Тип курса

Авторизированный

Длительность

16 ак. часов

Ближайшая дата

Отсутствует

Стоимость

16 600.00 RUB

Формируем расписание курса

Оставьте заявку, и мы проинформируем вас когда все будет готово.

Описание

В курсе БТ07 "Анализ и оценка защищенности Web-приложений" используются современные подходы к построению информационной инфраструктуры бизнеса на основе Web-технологий, рассматриваются уязвимости сетевых приложений и методы их устранения. Курс базируется на концепции глубокоэшелонированной защиты (Defence in depth), и включает методику поэтапной настройки всех компонентов, в том числе, сетевой инфраструктуры, базовых операционных систем, системы управления базами данных (СУБД), и собственно Web-приложения для надежной защиты от распространенных атак, а также для повышения устойчивости к новым атакам.

Особое внимание в курсе уделяется защите на прикладном уровне, рассматриваются распространенные ошибки, допускаемые разработчиками при создании клиентской и серверной частей Web-приложения, их возможные последствия и методы устранения.

Анализируются методики и инструментарий, необходимые для проведения работ по оценке защищенности Web-приложений других разработчиков. В качестве критериев для проведения аудита используются общепринятые классификации Web-приложений OWASP TOP 10 и Web Application Security Consortium Threat Classification.

Половина учебного времени отведена практическим работам и демонстрациям. В ходе выполнения практических работ слушатели получают навыки поиска и устранения уязвимостей в Web-приложениях. Практические работы проводятся на базе систем, представляющих собой типовые Web-приложения, содержащие распространенные уязвимости.

Профиль аудитории

Системные и сетевые администраторы, ответственные за безопасность Web-приложений.
Администраторы информационной безопасности.
Эксперты и аналитики по вопросам компьютерной безопасности, ответственные за анализ состояния информационной безопасности, определение требований к защищенности сетевых ресурсов.
Разработчики Web-приложений.

Необходимая подготовка

Хорошее знание IP-сетей.
Знание основ Web-технологий (HTTP, HTML, ASP, JSP, SQL).
Навыки работы с ОС Windows 2000/XP/2003, Linux.

Цели курса

По окончании курса Вы приобретете знания:

о применении концепции Defence in depth к защите Web-приложений;
основных уязвимостей и атак на Web-приложения;
методов защиты Web-приложений;
классификаций уязвимостей Web-приложений OWASP TOP 10 и Web Application Security Consortium Threat Classification;
принципов построения эффективных систем аутентификации и разграничения доступа к Web-ресурсам;
методов поиска уязвимостей в Web-приложениях.

Вы сможете:

использовать средства аудита безопасности Web-приложений (Sleuth, WebScarab, Achilles, Odysseus, Paros);
выявлять уязвимости с использованием различных средств анализа защищенности, в т.ч. Nikto, XSpider, MaxPatrol;
настраивать системы безопасности компонентов Web-приложения (ОС, СУБД, Web-сервера);
конфигурировать специализированные средства защиты Web-приложений, такие как Web Application Firewall.

Программа курса

Глава 1 - Проблемы и основные понятия безопасности Web-технологий

Основные понятия безопасности Web-технологий.
Уровни информационной инфраструктуры.
Концепция глубокоэшелонированной защиты.
Основные источники уязвимостей.
Методы оценки уязвимостей системы.
Источники информации об уязвимостях.

Глава 2 - Защита уровня сетевого взаимодействия

Уязвимости и атаки уровня сетевого взаимодействия.
Защита сетевого взаимодействия ОС Windows.
Защита сетевого взаимодействия сервера СУБД.
Защита сетевого взаимодействия Web-сервера.
Дополнительные средства обеспечения безопасности на сетевом уровне.

Глава 3 - Защита уровня серверной операционной системы

Уязвимости операционных систем.
Настройка механизмов аутентификации и разграничения доступа операционной системы.
Защита компонентов ОС, связанных с сервером СУБД.
Защита компонентов ОС, связанных с Web-сервером.

Глава 4 - Защита уровня СУБД

Разграничение доступа к ресурсам MS SQL Server.
Настройка безопасности компонентов SQL Server.
Аудит корректности разрешений на объекты СУБД.

Глава 5 - Базовые сведения о Web-технологиях

Протоколы и технологии Web.
Протокол HTTP.
Основные стандарты.
Заголовки протокола.
Методы передачи данных.
Основные утилиты, используемые в курсе.

Глава 6 - Уязвимости и атаки на Web-приложения

Причины возникновения уязвимостей.
Атаки на Web-приложения.
Список OWASP TOP 10.
Классификация угроз Web Application Security Consortium.

Глава 7 - Разглашение информации

Индексирование директорий.
Идентификация приложений.
Утечка информации.
Обратный путь в директориях.
Предсказуемое расположение ресурсов.
Методы защиты.
Защита критичных данных приложения.

Глава 8 - Аутентификация

Методы аутентификации в Web-приложениях.
Уязвимости аутентификации.
Подбор.
Недостаточная аутентификация.
Небезопасное восстановление паролей.

Глава 9 - Авторизация и идентификация сессии

Уязвимости реализации авторизации.
Предсказуемое значение идентификатора сессии.
Недостаточная авторизация.
Отсутствие таймаута сессии.
Фиксация сессии.
Некорректные разрешения.

Глава 10 - Уязвимости, приводящие к выполнению кода

Переполнение буфера.
Атака на функции форматирования строк.
Внедрение операторов LDAP.
Выполнение команд операционной системы.
Внедрение операторов SQL.
Внедрение SQL кода вслепую.
Внедрение серверных расширений.
Внедрение XML.
Внедрение почтовых команд.

Глава 11 - Безопасность клиентских приложений

Подмена содержимого.
Межсайтовое выполнение сценариев.
Сохраненный вариант атаки.
Отраженный вариант атаки.
Использование внедрения сценариев.
Защита от внедрения сценариев.
Подделка HTTP-запросов.

Глава 12 - Web 2.0

Концепция Web 2.0 и AJAX.
Угрозы, связанные с технологией AJAX. Web-черви.

Глава 13 - Логические атаки

Злоупотребление функциональными возможностями.
Отказ в обслуживании.
Недостаточное противодействие автоматизации.
Недостаточная проверка процесса.
Функции перенаправления.
Расщепление HTTP-запросов и ответов.

Глава 14 - Анализ защищенности Web-приложений

Методология анализа защищенности.
Специфика Web-приложений.
Автоматизированные средства поиска уязвимостей.
Сканеры уязвимостей Web-приложений.

Глава 15 - Дополнительные механизмы защиты Web-приложений

Межсетевые экраны для Web-приложений (Web Application Firewalls).
Возможности и ограничения WAF.
Примеры реализации WAF.
Использование mod_security для защиты трафика.

Скачать расписание курса

FAQ

По окончании обучения слушатели получают либо Сертификат Учебного Центра о прохождении курса, либо Удостоверение о повышении квалификации, зарегистрированное в ФРДО (Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении). Для получения Свидетельства необходимо, чтобы длительность обучения превышала 16 академических часов, а также необходимо предоставить оригинал Диплома о профессиональном или высшем образовании государственного образца.

Помимо этого, по факту прохождения авторизованных курсов вендоров Cisco, Postgres, AstraLinux, Microsoft, ICAgile выдается электронный сертификат вендора.

Возьмите паспорт и Диплом об окончании профессионального или высшего образования. Диплом понадобится для получения Удостоверения о повышении квалификации (в случае отсутствия Диплома, по окончании курса будет выдан Сертификат Учебного Центра, подтверждающий факт пройденного обучения).

За несколько дней до начала обучения (обычно за неделю) все слушатели получают приглашение по указанной электронной почте (если обучение заказывалось централизованно, ваш персональный мейл могли не передать - обратитесь к специалисту вашей организации, кто заказывал курсы, приглашение есть у него). В приглашении указан адрес и прочая полезная для слушателя информация. Если вы не получили приглашение – обратитесь к нам любым удобным для вас способом, и мы сообщим адрес и продублируем приглашение на вашу почту.

В основном корпусе в Москве по адресу Дербеневская набережная д.7 стр.5, БЦ «Оазис», парковки, к сожалению, нет. Зато есть муниципальная платная парковка на всех прилегающих улицах.

По поводу остальных филиалов и корпусов – уточняйте информацию у наших менеджеров. Мы постараемся сделать всё возможное для вашего комфортного обучения.

Да, во время занятий для слушателей всегда доступны чай, кофе, прохладительные напитки и орешки, печеньки и другие снеки на кофе-брейках. Помимо этого, в обеденный перерыв будет предложен полноценный горячий обед.

Наш центр работает с корпоративными и частными клиентами. Для каждой категории клиентов мы разработали различные варианты сотрудничества, позволяющие гибко подходить к ценообразованию и вариантам оплаты.

Обо всех специальных условиях читайте в разделе Спецпредложения.

Недостаточно информации? Напишите нам, и мы сделаем вам предложение, от которого невозможно отказаться.

Не нашли подходящиего курса?

Оставьте заявку на обучение для вашей организации

Специальные предложения

Скидки и бонусы на треки

Предоставляем скидки, бесплатное тестирование, консультационную поддержку тренера при покупке трека обучения