Seminar
IT-Sicherheit bei der Entwicklung von Web-Applikationen
Inhalt

Kontakt
Das Seminar 01
Referierende 02
Organisation 03
Claudia Bauer

Ich berate Sie gerne!

Claudia Bauer

Marketing & Veranstaltungs­management

claudia.bauer@th-nuernberg.de +49 911 424599-12
Ein Geschäftsmann drückt ein virtuellen Knopf mit Schlosssymbol

Termin

Auf Anfrage

Dauer

4 Tage

Investition

ab 1.150,00 €

Claudia Bauer

Ich berate Sie gerne!

Claudia Bauer

Marketing & Veranstaltungs­management

claudia.bauer@th-nuernberg.de +49 911 424599-12

01

Das Seminar

IT-Sicherheit bei der Entwicklung von Web-Applikationen

Webapplikationen sind naturgemäß mit hohen Risiken behaftet und oft Ziel von Hacker-Angriffen. Diese reichen vom Diebstahl von Benutzerdaten bis zum direkten Zugriff auf dahinter liegende Web-Shops, Kundenportale oder per Web-App zugängliche Steuerungs-Software.

Die beste Möglichkeit, solche Angriffe zu verhindern, ist die von Grund auf sichere Entwicklung der Web-Applikationen. In unserem Seminar lernen Sie die häufigsten Angriffsarten kennen und lernen, wie Sie diese durch entsprechende Entwicklungsmethoden vermeiden können.

Seminarziel

  • Kenntnisse zu den häufigsten Angriffsarten
  • Fähigkeiten zum Einsatz sicherer Entwicklungsmethoden

Zielgruppe

  • Fachinformatiker*innen und Praktiker*innen aus dem Feld der Informationstechnik
  • Softwareentwickler*innen
  • Software-Projektleitung

Programm

Im Lauf der Schulung werden alle Themengebiete besprochen, die bei den in der OWASP-Top10 aufgelisteten Problemklassen vorkommen: Dabei werden sowohl die zugrunde liegenden technischen Ursachen erläutert, als auch diese in praktischen Übungen nachvollzogen. Anschließend werden unterschiedliche Lösungsmöglichkeiten vorgestellt und diskutiert, wie die jeweiligen Probleme technisch (oder organisatorisch) abgesichert werden können.

Das Seminar lebt von dem starken Workshop-Charakter. Der Fokus liegt auf dem eigenen Doing der Teilnehmer*innen. Inhaltlich ist der Workshop in vier Blöcke á drei Stunden gegliedert:

Block / Tag 1

Zum Seminarstart erfolgt eine Einführung in die häufigsten Schwachstellen in den Web-Applikationen und die Methoden zum Testen der Sicherheit der Web-Applikationen. Darauf aufbauend werden die einfachen Angriffe auf die Client-Seite gezeigt.

  • Einführung
  • OWASP Top10 als häufigste Schwachstellen in Web-Applikationen
  • Einsatz von Web-Proxy zum Abfangen und Modifizierung der HTTP-Anfragen (BurpSuite)
  • Cross-Site-Scripting (XSS) Angriffe und die Schutzmaßnahmen:
    - Filterung der Eingaben
    - Encodierung der Ausgabe
    - Content-Security-Policy
  • Cross-Site-Request-Forgery (CSRF) Angriffe und Schutzmaßnahmen:
    - Cookie-Flags
    - CSRF-Token
Block / Tag 2

In zweiten Block werden die Inhalte des ersten Blocks weiter ausgearbeitet und neue Themen eingeführt, die die häufigsten und die kritischen Angriffe auf die Backend-Systeme darstellen:

  • Fortgeschrittene Angriffsmethoden für XSS und Beef-Framework
  • SQL Injections:
    - Angriffsmethoden
    - Schutzmaßnahmen (prepared statements) und SQL-Firewalls
    - sqlmap als Angriffswerkzeug
  • Mögliche Fehlerquellen beim File Upload und Remote Code Execution als Folge
    - Remote-Shells
    - Auswirkungen auf die Mandatentrennung auf Shared-Servern
  • Automatische Überwachung von Serversystemen auf von Angreifern eingebrachten Dateien
  • Sicherheitsprobleme durch unzureichende Absicherung von Cookies
  • Sicherheitsprobleme durch Inhalte von Cookies
  • Sicherheitsbewusste Konfiguration von Webservern und sicherheitsrelevante Header zum Schutz der Webserver
  • Logikfehler bei der Authentifizierung von Benutzern
  • Device-Cookie als Schutzmaßnahme gegen Brute-Angriffe auf Loginfunktionen
Block / Tag 3

Im dritten Inhaltsblock werden die Inhalte des zweiten Block bezüglich der möglichen Angriffsvektoren auf die Webserver weiter vertieft. Als weitere Inhalte werden die Risiken bzgl. der Überwachung von Benutzern bei der Verwendung von Fremdressourcen besprochen, sowie die Sicherheitsrisiken bei der Authentifizierung von Benutzern und deren Alternativen.

  • Port-Scans mit nmap
  • Weitere Angriffswerkzeuge zum Testen von Web-Applikationen (wfuzz, nikto)
  • DoS-Angriffe gegen Web-Server:
    - Extragroßen Anfragen
    - Extrem viele Anfragen
    - Extrem langsame Anfragen
  • Tracking und Sicherheitsprobleme bei Verwendung von Externen Ressourcen aus CDNs
  • Tracking von Benutzern mittels HSTS-SuperCookie
  • Mögliche Angriffe auf "Passwort-Vergessen“ Funktionalität
  • 2-Faktor-Authentifizierung
  • JSON Web Token (JWT) als Authentifizierungsmethode
    - Vor und Nachteile gegenüber Session
Block / Tag 4

Final werden die Methoden zur systematischen Bewertung der Risiken bei Web-Applikationen anhand von etablierten Frameworks gezeigt. Die fortgeschrittenen Angriffsmethoden (Deserialisierung, XXE) werden erörtert.

  • Methoden zur Bewertung von Sicherheit der Web-Applikationen:
    - OWASP Testing Guide
    - OWASP Application Security Verification Standard
    - OWASP Risk Rating
    - OWASP API Top10
  • Optimierung von TLS-Verschlüsselung
    - Welche Art von Verschlüsselung ist aktuell sicher
  • Code-Obfuszierung als Schutzmaßnahme?
  • Deserialisierung von Objekten
    - Methodik und Angriffe
    - Beispiel-Applikation
  • XML-Injection und XML-External Entities (XXE)
    - Methodik und Angriffe
    - Beispiel-Applikation

Hinweis

Das Seminar kann auch als individuell angepasste Inhouse-Schulung angeboten werden. Sprechen Sie uns an!

02

Referierende

Jens Liebau
Jens Liebau
Jens Liebau
Jens Liebau
Geschäftsführender Gesellschafter
  bitinspect GmbH
  • seit über 15 Jahren im Bereich Netzwerke und Softwareentwicklung tätig, davon seit gut 10 Jahren mit dem Schwerpunkt auf IT-Security
  • beschäftigt sich insbesondere mit der Sicherheit von Webapplikationen und vernetzten Client- Server-Anwendungen
  • hält Schulungen für Entwickler und Administratoren von IT-Systemen zum Thema "(Un-)Sicherheit von Webapplikationen"
  • im Juli 2015 gründete er zusammen mit seinem Geschäftspartner Wladimir Paulsen die bitinspect GmbH, die sich Sicherheitsüberprüfungen und Pentests von vernetzen und mobilen Anwendungen widmet
Geschäftsführender Gesellschafter
Wladimir Paulsen
Wladimir Paulsen
Wladimir Paulsen
Wladimir Paulsen
Geschäftsführender Gesellschafter
  bitinspect GmbH
  • Studium der IT-Sicherheit an der Ruhr-Uni-Bochum
  • Kryptographie und Implementierung kryptographischer Verfahren als Studiumschwerpunkte
  • mehrere Jahre Erfahrung in der Software-Entwicklung (C, C++, C#)
  • seit mehr als 5 Jahren in Bereich IT-Sicherheit (Web Security, Pentests) tätig
Geschäftsführender Gesellschafter

03

Organisation

Methodik

Eingesetze Methoden sind

  • Vortrag/Frontalunterricht
  • Praxisübungen/Fallbeispiele
  • Gruppen-/Einzelarbeit
  • Teilnehmerdiskussion

Termine & Ort

Termine für 2023 werden auf Anfrage mit der Referentin abgestimmt. Senden Sie uns gerne Ihre Anfrage oder auch direkt Terminwünsche zu!

Die Durchführung der Präsenz-Veranstaltung erfolgt an der
OHM Professional School, Keßlerstr. 1, 90489 Nürnberg.

Die Durchführung ist generell in Präsenz geplant, kann aber auch bei Bedarf Online erfolgen.

Investition & Buchungskonditionen

Investition

ONLINE

  • 1190 € Standardpreis
  • 1150 € Frühbucherpreis bei Buchung bis 8 Wochen vor Termin

Die Seminargebühr beinhaltet den Zugang zu dem verwendeten Online-Seminartool, den Download der Tagungsunterlagen und eine Teilnahmebescheinigung.

Die Teilnahmegebühr ist Umsatzsteuerbefreit gemäß § 4 Nr. 21a/bb UStG

Buchungskonditionen

Sie erhalten kurzfristig eine Anmeldebestätigung. Rechnung und Anfahrtsbeschreibung gehen Ihnen knapp zwei Wochen vor der Veranstaltung zu. Die Teilnahmegebühr überweisen Sie bitte unter Angabe der Rechnungsnummer, des Veranstaltungstitels und Ihres Namens. Bis 14 Tage vor dem Seminar können Sie kostenlos zurücktreten. Bei späterer schriftlicher Abmeldung berechnen wir 50 % Stornogebühr, bei Absagen in der letzten Woche vor Seminarbeginn beträgt die Stornogebühr 100 %. Sie entfällt, wenn Sie einen Ersatzteilnehmer benennen. Falls das Seminar durch uns abgesagt wird, werden bezahlte Teilnehmergebühren erstattet, weitere Ansprüche sind ausgeschlossen.

Anmeldeschluss ist zwei Wochen vor dem Veranstaltungstermin.

Bitte beachten Sie unsere vollständigen AGB.