Безопасность Web-приложений
БТ12

В курсе рассматриваются уязвимости web–приложений на клиентской и серверной частях, основные ошибки совершаемые разработчиками и методы их устранения. Рассматриваются инструментарий, методики и критерии оценки защищённости web–приложений. Слушатели на практических примерах научатся выявлять и устранять уязвимости, отрабатывать меры противодействия различным типам атак.

Аудитория
  • Системные администраторы, инженеры и аудиторы, ответственные за обеспечение безотказного функционирования информационных систем.
  • Администраторы средств защиты, контроля и управления безопасностью, ответственные за сопровождение и администрирование средств защиты информации и средств анализа защищенности подсистем автоматизированных систем.
  • Разработчики Web-приложений.
Предварительный уровень подготовки

Хорошие знания сетевых технологий, принципов функционирования сетей, сетевых протоколов. Навыки администрирования операционных систем семейства Windows NT. Базовые знания ОС Linux.

Результат обучения

По окончании курса слушатели будут знать: 

  • Основные проблемы обеспечения безопасности Web-приложений;
  • Концепцию глубокоэшелонированной защиты ;
  • Основные виды атак на Web-приложения на стороне сервера и стороне клиента;
  • Основные виды уязвимостей Web-приложений;
  • Инструменты поиска уязвимостей в Web-приложениях;
  • Меры противодействия уязвимостям Web-приложений.

По окончании курса слушатели будут уметь:

  • Разрабатывать комплекс мероприятий для минимизации риска атак на Web-приложения;
  • Применять меры к минимизации риска атак на Web-приложения;
  • Применять сканеры уязвимостей для оценки защищённости Web-приложения;
  • Осуществлять сбор данных с Web–ресурса с целью оценки защищённости;
  • Применять некоторые типы атак на Web-приложения для пентеста.
Программа курса

Раздел 1. Введение (1 час) 

  • Безопасности Web-приложений, основные понятия и определения. Основные проблемы обеспечения безопасности Web-приложений. Уязвимости Web-приложений. Оценка защищённости системы. Базы данных уязвимостей Web-приложений .

Раздел 2. Концепция глубокоэшелонированной защиты. (1 час)

  •  Защита Web-сервера, серверной операционной системы, защита сетевого взаимодействия, защита СУБД.

Раздел 3. Основы Web-технологий (2 часа) 

  • Протоколы и технологии Web. Протокол HTTP. Анализ протокола. Основные стандарты. Заголовки протокола. Методы передачи данных.

Раздел 4. Атаки на Web-приложения.(2 часа)

  •  Уязвимости Web-приложений, причины их возникновения. Распространённые атаки на Web-приложения. Сценарии атак. Проект OWASP. Классификация угроз Web-приложений.

Раздел 5. Утечка информации с Web–ресурса (2 часа)

  • Разведка Web–ресурса злоумышленником. Сбор документов. Использование поисковых систем и специальных утилит. Индексирование директорий. Идентификация приложений. Обратный путь в директориях. Предсказуемое расположение ресурсов. Защита критичных данных приложения. Меры противодействия.

Раздел 6. Атаки на аутентификацию (1 час) 

  • Методы аутентификации в Web-приложениях. Уязвимости аутентификации. Подбор пароля. Недостаточная аутентификация. Небезопасное восстановление паролей. Методы усиления надёжности аутентификации.

Раздел 7. Перехват сеанса (1 час)

  •  Ключевые техники перехвата сеанса. Процесс перехвата сеанса. Типы перехвата сеанса. Предсказуемое значение идентификатора сеанса. Отсутствие таймаута сеанса. Фиксация сеанса. Инструменты для перехвата сеанса. Меры противодействия перехвату сеанса.

Практическая работа

 Раздел 8. Уязвимости, приводящие к выполнению кода (2 часа)

  • Переполнение буфера. Атака на функции форматирования строк. Внедрение операторов LDAP. Выполнение команд операционной системы. SQL-инъекции. Внедрение XML. Внедрение почтовых команд. Меры противодействия.

Раздел 9. Безопасность клиентских приложений. (2 часа)

  •  Подмена содержимого. XSS-атаки. Сохраненный вариант атаки. Отраженный вариант атаки. Использование внедрения сценариев. Подделка HTTP-запросов. Меры противодействия.

Раздел 10. Атаки на отказ в обслуживании. (1 часа)

  • Техники DoS/DDoS атак. Примеры реализация DDoS атак. Инструменты проведения DoS атак. Меры противодействия DoS атакам.

Раздел 11. Концепция Web 2.0 и AJAX (1 часа)

  • Основы Web 2.0 и AJAX. Угрозы, связанные с этими технологиями. Web-черви..

Раздел 12. Оценка защищённости и защита Web-приложений (1 часа)

  •  Автоматизированные средства поиска уязвимостей. Сканеры уязвимостей Web-приложений.
  • Межсетевые экраны для Web-приложений (Web Application Firewalls). Их возможности и ограничения.

Итоговый зачет (тест). 

Ближайшие курсы

РедОС-bash 07.04 - 08.04.2025

Разработка скриптов Bash для администраторов РЕД ОС

Стоимость обучения в группе

16 000 ₽

Стоимость индивидуального обучения

25 000 ₽

Длительность

2 дня (16 ак. ч.)

БТ10 07.04 - 09.04.2025

Аудит информационной безопасности

Стоимость обучения в группе

36 370 ₽

Стоимость индивидуального обучения

58 100 ₽

Длительность

3 дня (24 ак. ч.)

1С_07 07.04 - 09.04.2025

Кадровый учёт в 1С:Зарплата и Управление Персоналом 3.1". Сертифицированный курс

Стоимость обучения в группе

30 840 ₽

Длительность

3 дня (24 ак. ч.)

LPI-103 07.04 - 10.04.2025

Системное администрирование Linux

Стоимость обучения в группе

30 990 ₽

Стоимость индивидуального обучения

50 050 ₽

Длительность

4 дня (32 ак. ч.)

Python-N&D 07.04 - 11.04.2025

Расширенный курс по NGINX и Docker. Уровень 4

Стоимость обучения в группе

39 830 ₽

Стоимость индивидуального обучения

58 400 ₽

Длительность

5 дней (40 ак. часов)

20345-2-B 07.04 - 11.04.2025

Дизайн и развертывание Microsoft Exchange Server 2016/2019

Стоимость обучения в группе

41 000 ₽

Стоимость индивидуального обучения

65 000 ₽

Длительность

5 дней (40 ак. ч.)

IIpSN 07.04 - 11.04.2025

Внедрение коммутируемых сетей на примере ведущих вендоров

Стоимость обучения в группе

65 900 ₽

Стоимость индивидуального обучения

85 670 ₽

Длительность

5 дней (40 ак. часов)

20461 07.04 - 11.04.2025

Создание запросов к Microsoft SQL Server

Стоимость обучения в группе

39 250 ₽

Стоимость индивидуального обучения

65 500 ₽

Длительность

5 дней (40 ак. ч.)

55269 09.04 - 09.04.2025

Microsoft Excel 2019. Уровень 2

Стоимость обучения в группе

7 205 ₽

Стоимость индивидуального обучения

15 250 ₽

Длительность

2 дня (16 ак. ч.)

BASH-shell 09.04 - 11.04.2025

Основы разработки shell-сценариев для командного интерпретатора BASH

Стоимость обучения в группе

20 000 ₽

Стоимость индивидуального обучения

28 500 ₽

Длительность

3 дня (24 ак. ч.)

ITIL© v3. SD-01 14.04 - 15.04.2025

Создание и управление службой Service Desk

Стоимость обучения в группе

28 950 ₽

Стоимость индивидуального обучения

54 500 ₽

Длительность

2 дня (16 ак. ч.)

Or12c_SQLI 14.04 - 16.04.2025

Основы БД Oracle 12c: SQL часть I

Стоимость обучения в группе

38 700 ₽

Стоимость индивидуального обучения

58 500 ₽

Длительность

3 дня (24 ак. ч.)

Or11g_SQLI 14.04 - 16.04.2025

Основы БД Oracle 11g: SQL часть I

Стоимость обучения в группе

38 700 ₽

Стоимость индивидуального обучения

58 500 ₽

Длительность

3 дня (24 ак. ч.)

Revit 14.04 - 17.04.2025

Autodesk REVIT Architecture

Стоимость обучения в группе

43 875 ₽

Стоимость индивидуального обучения

72 050 ₽

Длительность

4 дня (32 ак. ч.)

Python-2 14.04 - 18.04.2025

Продвинутое программирование Python. Уровень 2.

Стоимость обучения в группе

34 050 ₽

Стоимость индивидуального обучения

58 500 ₽

Длительность

5 дней (40 ак. ч.)

VM2 v.8.0/7.0/6.5 14.04 - 18.04.2025

Продвинутый курс по оптимизации и решению проблем виртуальных сред VMware vSphere

Стоимость обучения в группе

77 600 ₽

Стоимость индивидуального обучения

115 000 ₽

Длительность

5 дней (40 ак. ч.)

WS-011T00 14.04 - 18.04.2025

Администрирование Windows Server 2019/2022

Стоимость обучения в группе

45 550 ₽

Стоимость индивидуального обучения

65 000 ₽

Длительность

5 дней (40 ак. ч.)

Or12c_SQLк 14.04 - 18.04.2025

Основы БД Oracle 12c: SQL- комплексная программа

Стоимость обучения в группе

62 300 ₽

Стоимость индивидуального обучения

106 000 ₽

Длительность

5 дней (40 ак. ч.)

Or11g_SQLк 14.04 - 18.04.2025

Основы БД Oracle 11g: SQL- комплексная программа

Стоимость обучения в группе

62 300 ₽

Стоимость индивидуального обучения

104 000 ₽

Длительность

5 дней (40 ак. ч.)

Primavera 17.04 - 18.04.2025

Управление проектами с использованием Oracle Primavera

Стоимость обучения в группе

31 900 ₽

Стоимость индивидуального обучения

59 000 ₽

Длительность

3 дня (24 ак. ч.)

Or12c_SQLII 17.04 - 18.04.2025

Основы БД Oracle 12c: SQL часть II

Стоимость обучения в группе

26 550 ₽

Стоимость индивидуального обучения

48 500 ₽

Длительность

2 дня (16 ак. ч.)

Or11g_SQLII 17.04 - 18.04.2025

Основы БД Oracle 11g: SQL часть II

Стоимость обучения в группе

26 550 ₽

Стоимость индивидуального обучения

48 500 ₽

Длительность

2 дня (16 ак. ч.)

Asterisk_1 21.04 - 23.04.2025

Использование Asterisk в качестве профессиональной АТС

Стоимость обучения в группе

49 900 ₽

Стоимость индивидуального обучения

85 600 ₽

Длительность

3 дня (40 ак. ч.)

20483 21.04 - 25.04.2025

Программирование на C#

Стоимость обучения в группе

40 400 ₽

Стоимость индивидуального обучения

68 500 ₽

Длительность

5 дней (40 ак. ч.)

20764 21.04 - 25.04.2025

Администрирование инфраструктуры базы данных SQL

Стоимость обучения в группе

40 350 ₽

Стоимость индивидуального обучения

65 300 ₽

Длительность

5 дней (40 ак. ч.)

HCIA_S 21.04 - 25.04.2025

Построение сетевой безопасности Huawei. Базовый уровень

Стоимость обучения в группе

109 400 ₽

Стоимость индивидуального обучения

136 600 ₽

Длительность

5 дней (40 ак. ч.)

Lin_Debian 21.04 - 25.04.2025

Системное администрирование Debian. Расширенные возможности

Стоимость обучения в группе

56 650 ₽

Стоимость индивидуального обучения

75 000 ₽

Длительность

5 дней (65 ак. часов)

PGSQL_basics 21.04 - 25.04.2025

PostgreSQL уровень 1. Основы SQL

Стоимость обучения в группе

42 100 ₽

Стоимость индивидуального обучения

58 500 ₽

Длительность

5 дней (40 ак. ч.)

HCIP_DC 21.04 - 30.04.2025

Внедрение ключевых технологий направления Datacom Huawei

Стоимость обучения в группе

136 400 ₽

Стоимость индивидуального обучения

155 000 ₽

Длительность

80 ак. ч.

Тех_П 24.04 - 25.04.2025

Технический писатель: создание технической документации

Стоимость обучения в группе

29 000 ₽

Стоимость индивидуального обучения

37 700 ₽

Длительность

2 дня (16 ак. ч.)

PG_DBA3 28.04 - 29.04.2025

Администрирование PostgreSQL. Резервное копирование и репликация

Стоимость обучения в группе

26 030 ₽

Стоимость индивидуального обучения

40 000 ₽

Длительность

2 дня (16 ак. ч.)

100 28.04 - 29.04.2025

Основы работы с персональным компьютером. Работа в Интернет

Стоимость обучения в группе

9 980 ₽

Стоимость индивидуального обучения

15 000 ₽

Длительность

2 дня (16 ак. ч.)

JS 28.04 - 30.04.2025

JavaScript. Основы веб - программирования

Стоимость обучения в группе

40 400 ₽

Стоимость индивидуального обучения

55 000 ₽

Длительность

3 дня (24 ак. ч.)

БТ-КИИ 28.04 - 30.04.2025

Обеспечение безопасности объектов критической информационной инфраструктуры

Стоимость обучения в группе

38 680 ₽

Стоимость индивидуального обучения

58 100 ₽

Длительность

3 дня (24 ак. ч.)

ViPNet 4 28.04 - 30.04.2025

Администрирование системы защиты информации ViPNet 4 (Программно-аппаратные комплексы VipNet)

Стоимость обучения в группе

34 050 ₽

Стоимость индивидуального обучения

58 100 ₽

Длительность

3 дня (72 ак. ч.)

20779 28.04 - 30.04.2025

Анализ Данных с помощью Excel

Стоимость обучения в группе

29 050 ₽

Стоимость индивидуального обучения

45 400 ₽

Длительность

3 дня (24 ак. ч.)

10997 28.04 - 30.04.2025

Администрирование и устранение ошибок в Office 365

Стоимость обучения в группе

30 590 ₽

Стоимость индивидуального обучения

43 000 ₽

Длительность

3 дня (24 ак. ч.)