Security Testing OWASP TOP 10

Складчина: Security Testing OWASP TOP 10

​

В качестве растущей тенденции в ИТ-индустрии на кибербезопасность разрабатываемых продуктов и экспоненциально увеличивает спрос на специалистов, которые разбираются в том какие методы защиты на атаки со стороны мошенников можно применить, дабы защитить себя от злоумышленников. Записуйтесь на получения видеокурса через форму связи со мной...



В курс входит:
- 7 часов практики
- 2 мануала общим объемом в 450 страниц
- 2 виртуальные машины
- рассказ про существующие топовые уязвимости, определенных OWASP
- объяснения как правильно пользоваться инструментами для поиска уязвимостей с практикой к веб приложению
- как бонус, если что-то не будет получаться пишите мне, я могу решать вам траблы.

Спойлер: Программа курса

Инструменты, которые будут использованы в тренинге:
Sqlmap, Burp Suite, OWASP ZAP, Metasploit, Nmap, Ettercap, Social engineering toolkit, BeEF, Rainbowcrack, Slowloris

1) Introduction into Security Testing:
- History security.
- Hacker attacks.
- Security testing in SDLC.
- Tools for Security testing.
- OWASP TOP 10 - Brief introduction.

2) A1:Injection:
- What it is “Injection” attack.
- Examples of attacks.
- Сauses of “Injection” vulnerability.
- Tools for search SQL injection.
- Demo and Practice: in search SQL injection
- Protection Recommendations.

3) A2:Broken Authentication:
- What it is “Broken Authentication”.
- Examples of attacks.
- Сauses of “Broken Authentication” vulnerability.
- Tools for search “Broken Authentication”.
- Demo and Practice: in search “Broken Authentication”
- Protection Recommendations.

4) A3:Sensitive Data Exposure:
- What it is “Sensitive Data Exposure”.
- Examples of attacks.
- Сauses of “Sensitive Data Exposure” vulnerability.
- Tools for search “Sensitive Data Exposure”.
- Demo and Practice: in search “Sensitive Data Exposure”
- Protection Recommendations.

5) A4:XML External Entities (XXE):
- What it is “XML External Entities (XXE)”.
- Examples of attacks.
- Сauses of “XML External Entities (XXE)” vulnerability.
- Tools for search “XML External Entities (XXE)”.
- Demo and Practice: in search “XML External Entities (XXE)”
- Protection Recommendations.

6) A5:Broken Access Control:
- What it is “Broken Access Control”.
- Examples of attacks.
- Сauses of “Broken Access Control” vulnerability.
- Tools for search “Broken Access Control”.
- Demo and Practice: in search “Broken Access Control”
- Protection Recommendations.

7) A6:Security Misconfiguration:
- Reminder of the things learned previous day.
- What it is “Security Misconfiguration” attack.
- Examples of attacks.
- Сauses of “Security Misconfiguration” vulnerability.
- Protection Recommendations.

8) A7: Cross-Site Scripting (XSS):
- What it is “Cross-Site Scripting (XSS)” attack.
- Examples of attacks.
- Сauses of “Cross-Site Scripting (XSS)” vulnerability.
- Tools for search "Cross-Site Scripting (XSS)".
- Demo and Practice: in search "Cross-Site Scripting (XSS)"
- Protection Recommendations.

9) A8:Insecure Deserialization:
- What it is “Insecure Deserialization”.
- Examples of attacks.
- Сauses of “Insecure Deserialization” vulnerability.
- Tools for search “Insecure Deserialization”.
- Demo and Practice: in search “Insecure Deserialization”
- Protection Recommendations.

10) A9:Using Components with Known Vulnerabilities:
- What it is?.
- Examples of attacks.
- Сauses of vulnerability.
- Tools for search vulnerability.
- Demo and Practice: in search vulnerability
- Protection Recommendations.

11) A10:Insufficient Logging & Monitoring:
- What it is Insufficient Logging & Monitoring” attack.
- Examples of attacks.
- Сauses of “Insufficient Logging & Monitoring” vulnerability.
- Protection Recommendations.

12) Closing-Up:
- Conclusions.
- Literature.
- Recommendations on further steps.

Спойлер: Об Авторе

Больше 7 лет в тестировании
Больше 4 лет тестирую на наличие Web уязвимостей
Спикер множественных конференций по тестированию
Провожу обучение по Security testing

В мою первостепенную задачу входит тестирование web приложений
Если брать конкретнее то:

• Управление командой из 5 человек
• Приоритизация задач для последующих спринтов
• Составление технического задания для разработки
• Тестирование требований в задаче перед разработкой
• Применение функционального, системного, регрессионного, модульного, юзабилити тестирования
• Также применяю в работе нагрузочное тестирование и тестирование на безопасность
• В функциональное тестирование входят такие модули как Бэкенд и Фронтенд CMS, API этой же платформы для внешних CMS, API для мобильных приложений
• Есть опыт в автоматизированном тестировании веб и нативных мобильных приложений

Технические скилы:
Тулзы для нагрузки: Apache jMeter, Locust
Тулзы для безопасности: Sqlmap, Acunetix, Hydra, OWASP ZAP, Burp Suite, Metasploit, Nmap, Whatweb, Ettercap, Wireshark
Тулзы для автоматизации: Appium, Jenkins, Selenium WebDriver
Остальной стек, не знаю куда их притулить)): Kibana, Grafana, Jira, Postman, Pycharm
SVN: Mercurial, Git
Операционные системы: Windows, Linux, Mac OS, IOS, Android
База данных: PostgreSQL