Безопасность Web-приложений
БТ12

В курсе рассматриваются уязвимости web–приложений на клиентской и серверной частях, основные ошибки совершаемые разработчиками и методы их устранения. Рассматриваются инструментарий, методики и критерии оценки защищённости web–приложений. Слушатели на практических примерах научатся выявлять и устранять уязвимости, отрабатывать меры противодействия различным типам атак.

Аудитория
  • Системные администраторы, инженеры и аудиторы, ответственные за обеспечение безотказного функционирования информационных систем.
  • Администраторы средств защиты, контроля и управления безопасностью, ответственные за сопровождение и администрирование средств защиты информации и средств анализа защищенности подсистем автоматизированных систем.
  • Разработчики Web-приложений.
Предварительный уровень подготовки

Хорошие знания сетевых технологий, принципов функционирования сетей, сетевых протоколов. Навыки администрирования операционных систем семейства Windows NT. Базовые знания ОС Linux.

Результат обучения

По окончании курса слушатели будут знать: 

  • Основные проблемы обеспечения безопасности Web-приложений;
  • Концепцию глубокоэшелонированной защиты ;
  • Основные виды атак на Web-приложения на стороне сервера и стороне клиента;
  • Основные виды уязвимостей Web-приложений;
  • Инструменты поиска уязвимостей в Web-приложениях;
  • Меры противодействия уязвимостям Web-приложений.

По окончании курса слушатели будут уметь:

  • Разрабатывать комплекс мероприятий для минимизации риска атак на Web-приложения;
  • Применять меры к минимизации риска атак на Web-приложения;
  • Применять сканеры уязвимостей для оценки защищённости Web-приложения;
  • Осуществлять сбор данных с Web–ресурса с целью оценки защищённости;
  • Применять некоторые типы атак на Web-приложения для пентеста.
Программа курса

Раздел 1. Введение (1 час) 

  • Безопасности Web-приложений, основные понятия и определения. Основные проблемы обеспечения безопасности Web-приложений. Уязвимости Web-приложений. Оценка защищённости системы. Базы данных уязвимостей Web-приложений .

Раздел 2. Концепция глубокоэшелонированной защиты. (1 час)

  •  Защита Web-сервера, серверной операционной системы, защита сетевого взаимодействия, защита СУБД.

Раздел 3. Основы Web-технологий (2 часа) 

  • Протоколы и технологии Web. Протокол HTTP. Анализ протокола. Основные стандарты. Заголовки протокола. Методы передачи данных.

Раздел 4. Атаки на Web-приложения.(2 часа)

  •  Уязвимости Web-приложений, причины их возникновения. Распространённые атаки на Web-приложения. Сценарии атак. Проект OWASP. Классификация угроз Web-приложений.

Раздел 5. Утечка информации с Web–ресурса (2 часа)

  • Разведка Web–ресурса злоумышленником. Сбор документов. Использование поисковых систем и специальных утилит. Индексирование директорий. Идентификация приложений. Обратный путь в директориях. Предсказуемое расположение ресурсов. Защита критичных данных приложения. Меры противодействия.

Раздел 6. Атаки на аутентификацию (1 час) 

  • Методы аутентификации в Web-приложениях. Уязвимости аутентификации. Подбор пароля. Недостаточная аутентификация. Небезопасное восстановление паролей. Методы усиления надёжности аутентификации.

Раздел 7. Перехват сеанса (1 час)

  •  Ключевые техники перехвата сеанса. Процесс перехвата сеанса. Типы перехвата сеанса. Предсказуемое значение идентификатора сеанса. Отсутствие таймаута сеанса. Фиксация сеанса. Инструменты для перехвата сеанса. Меры противодействия перехвату сеанса.

Практическая работа

 Раздел 8. Уязвимости, приводящие к выполнению кода (2 часа)

  • Переполнение буфера. Атака на функции форматирования строк. Внедрение операторов LDAP. Выполнение команд операционной системы. SQL-инъекции. Внедрение XML. Внедрение почтовых команд. Меры противодействия.

Раздел 9. Безопасность клиентских приложений. (2 часа)

  •  Подмена содержимого. XSS-атаки. Сохраненный вариант атаки. Отраженный вариант атаки. Использование внедрения сценариев. Подделка HTTP-запросов. Меры противодействия.

Раздел 10. Атаки на отказ в обслуживании. (1 часа)

  • Техники DoS/DDoS атак. Примеры реализация DDoS атак. Инструменты проведения DoS атак. Меры противодействия DoS атакам.

Раздел 11. Концепция Web 2.0 и AJAX (1 часа)

  • Основы Web 2.0 и AJAX. Угрозы, связанные с этими технологиями. Web-черви..

Раздел 12. Оценка защищённости и защита Web-приложений (1 часа)

  •  Автоматизированные средства поиска уязвимостей. Сканеры уязвимостей Web-приложений.
  • Межсетевые экраны для Web-приложений (Web Application Firewalls). Их возможности и ограничения.

Итоговый зачет (тест). 

Ближайшие курсы

Тех.PQ 09.07 - 10.07.2025

Технология Power Query в Excel

Стоимость обучения в группе

18 480 ₽

Стоимость индивидуального обучения

34 000 ₽

Длительность

2 дня (16 ак. ч.)

PG_DBA1 14.07 - 16.07.2025

Администрирование PostgreSQL 16. Базовый курс

Стоимость обучения в группе

29 900 ₽

Стоимость индивидуального обучения

48 000 ₽

Длительность

3 дня (24 ак. ч.)

PGSQL_develop 14.07 - 18.07.2025

PostgreSQL для разработчиков: SQL, PL/PgSQL, Java

Стоимость обучения в группе

43 300 ₽

Стоимость индивидуального обучения

58 500 ₽

Длительность

5 дней (40 ак. ч.)

20488 14.07 - 18.07.2025

Разработка основного функционала Microsoft SharePoint Server 2013

Стоимость обучения в группе

40 000 ₽

Стоимость индивидуального обучения

59 300 ₽

Длительность

5 дней (40 ак. ч.)

VSOS6.5 14.07 - 18.07.2025

VMWare vSphere: Оптимизация и масштабирование

Стоимость обучения в группе

74 150 ₽

Стоимость индивидуального обучения

165 000 ₽

Длительность

5 дней (40 ак. ч.)

55201 14.07 - 18.07.2025

Microsoft Project Professional 2016. Управление проектами

Стоимость обучения в группе

38 680 ₽

Стоимость индивидуального обучения

73 500 ₽

Длительность

5 дней (40 ак. ч.)

WS-011T00 14.07 - 18.07.2025

Администрирование Windows Server 2019/2022

Стоимость обучения в группе

45 550 ₽

Стоимость индивидуального обучения

65 000 ₽

Длительность

5 дней (40 ак. ч.)

20779 21.07 - 23.07.2025

Анализ Данных с помощью Excel

Стоимость обучения в группе

29 050 ₽

Стоимость индивидуального обучения

45 400 ₽

Длительность

3 дня (24 ак. ч.)

PGSQL_basics 21.07 - 25.07.2025

PostgreSQL уровень 1. Основы SQL

Стоимость обучения в группе

42 100 ₽

Стоимость индивидуального обучения

58 500 ₽

Длительность

5 дней (40 ак. ч.)

БТ01 21.07 - 25.07.2025

Безопасность информационных технологий

Стоимость обучения в группе

54 870 ₽

Стоимость индивидуального обучения

95 500 ₽

Длительность

5 дней (40 ак. ч.)

20461 21.07 - 25.07.2025

Создание запросов к Microsoft SQL Server

Стоимость обучения в группе

39 250 ₽

Стоимость индивидуального обучения

65 500 ₽

Длительность

5 дней (40 ак. ч.)

20410 21.07 - 25.07.2025

Установка и настройка Windows Server 2012 R2

Стоимость обучения в группе

38 000 ₽

Стоимость индивидуального обучения

64 000 ₽

Длительность

5 дней (40 ак. ч.)

ICND 1 v3.0 21.07 - 25.07.2025

Использование сетевого оборудования Cisco (часть I) v3.0

Стоимость обучения в группе

51 035 ₽

Стоимость индивидуального обучения

85 000 ₽

Длительность

5 дней (40 ак. ч.)

1С_41 21.07 - 01.08.2025

Программирование в системе 1С:Предприятие 8.3» (самый полный курс для программистов 1С)

Стоимость обучения в группе

79 150 ₽

Длительность

10 дней (80 ак. ч.)

Юнит-6 28.07 - 29.07.2025

Развивающее наставничество

Стоимость обучения в группе

40 000 ₽

Стоимость индивидуального обучения

60 500 ₽

Длительность

2 дня (16 ак. часов)

PG_ClickHouse 28.07 - 01.08.2025

Язык запросов SQL в базах данных Postgresql и ClickHouse

Стоимость обучения в группе

104 500 ₽

Стоимость индивидуального обучения

185 000 ₽

Длительность

5 дней (40 ак. часов)

LPI-Zabbix 28.07 - 01.08.2025

Zabbix. Мониторинг IT инфраструктуры предприятия

Стоимость обучения в группе

45 800 ₽

Стоимость индивидуального обучения

55 500 ₽

Длительность

5 дней (40 ак. ч.)

ITSC 28.07 - 01.08.2025

ИТ-департамент как сервисная компания

Стоимость обучения в группе

49 500 ₽

Стоимость индивидуального обучения

64 350 ₽

Длительность

5 дней (40 ак. часов)

10962 04.08 - 06.08.2025

Расширенные возможности по автоматизации администрирования с помощью Windows PowerShell

Стоимость обучения в группе

29 500 ₽

Стоимость индивидуального обучения

53 800 ₽

Длительность

3 дня (24 ак. ч.)

20465 04.08 - 06.08.2025

Проектирование решений на основе баз данных SQL Server 2014

Стоимость обучения в группе

31 750 ₽

Стоимость индивидуального обучения

48 500 ₽

Длительность

3 дня (24 ак. ч.)

Python-3 04.08 - 08.08.2025

Разработка веб - приложений в Django. Уровень 3.

Стоимость обучения в группе

48 520 ₽

Стоимость индивидуального обучения

95 800 ₽

Длительность

5 дней (40 ак. ч.)

Python-N&D 04.08 - 08.08.2025

Расширенный курс по NGINX и Docker. Уровень 4

Стоимость обучения в группе

39 830 ₽

Стоимость индивидуального обучения

58 400 ₽

Длительность

5 дней (40 ак. часов)

БТ17 04.08 - 08.08.2025

Расследование компьютерных инцидентов. Компьютерная криминалистика

Стоимость обучения в группе

47 500 ₽

Стоимость индивидуального обучения

72 900 ₽

Длительность

5 дней (40 ак. ч.)

10961 04.08 - 08.08.2025

Автоматизация администрирования с Windows PowerShell

Стоимость обучения в группе

41 000 ₽

Стоимость индивидуального обучения

65 000 ₽

Длительность

5 дней (40 ак. ч.)

PGSQL_advanced 04.08 - 08.08.2025

PostgreSQL: Уровень 2. Продвинутые аспекты

Стоимость обучения в группе

36 000 ₽

Стоимость индивидуального обучения

46 800 ₽

Длительность

40 ак. ч. (5 дней)

20741 04.08 - 08.08.2025

Настройка сети в Windows Server 2016

Стоимость обучения в группе

39 100 ₽

Стоимость индивидуального обучения

65 000 ₽

Длительность

5 дней (40 ак. ч.)

20345-2-B 04.08 - 08.08.2025

Дизайн и развертывание Microsoft Exchange Server 2016/2019

Стоимость обучения в группе

41 000 ₽

Стоимость индивидуального обучения

65 000 ₽

Длительность

5 дней (40 ак. ч.)

JV_Advanced 04.08 - 08.08.2025

Язык программирования Java. Создание приложений для работы с базами данных - технологии ORM (Hibernate, TopLink)

Стоимость обучения в группе

111 440 ₽

Стоимость индивидуального обучения

126 500 ₽

Длительность

5 дней (40 ак. ч.)

HCIA_DC 04.08 - 15.08.2025

Курс подготовки специалиста Huawei по технологиям и оборудованию передачи данных. Базовый уровень.

Стоимость обучения в группе

136 400 ₽

Стоимость индивидуального обучения

155 000 ₽

Длительность

80 ак. ч.

55293 06.08 - 08.08.2025

SharePoint 2019 конечный пользователь (SharePoint End User 2019)

Стоимость обучения в группе

34 450 ₽

Стоимость индивидуального обучения

47 740 ₽

Длительность

3 дня (24 ак. часа)