Corso di formazione Sicurezza di Rete e Comunicazioni Sicure

Scrivere codice C e C++ sicuro richiede una rigorosa difesa contro l'exploitation malevola, la corruzione della memoria e le bypassazioni della convalida degli input. Questo programma esamina i pattern di vulnerabilità inclusi i buffer overflow, l'uso dopo la liberazione (use-after-free), gli integer overflow e la confusione dei tipi. I partecipanti applicano le linee guida per il coding sicuro, strumenti di analisi statica e tecniche di programmazione difensiva per eliminare le debolezze, imporre la sanificazione degli input e fornire software robusto resistente agli attacchi informatici.

Anche i programmatori Java esperti non padroneggiano necessariamente tutti i servizi di sicurezza offerti da Java, né sono a conoscenza delle diverse vulnerabilità che possono interessare le applicazioni web sviluppate in questo linguaggio.

Il corso, oltre a introdurre i componenti di sicurezza presenti nella versione standard di Java, affronta anche le problematiche legate alla sicurezza nell’ambito di Java Enterprise Edition (JEE) e dei servizi web. Prima di esaminare in dettaglio tali servizi, vengono trattati i concetti fondamentali di crittografia e comunicazione protetta. Numerosi esercizi pratici illustrano le tecniche di sicurezza sia dichiarative che programmatiche in JEE; inoltre si analizzano aspetti legati alla protezione dei servizi web sia a livello del trasporto che in modo end-to-end. L’utilizzo di tutti i componenti viene presentato attraverso esercitazioni pratiche, nelle quali i partecipanti possono sperimentare direttamente le API e gli strumenti trattati.

Il corso si sofferma inoltre sui difetti di programmazione più comuni e gravi nel contesto del linguaggio Java, nonché sulle vulnerabilità legate al web. Oltre agli errori tipici commessi dai programmatori Java, vengono esaminate anche problematiche specifiche del linguaggio stesso o relative all’ambiente di runtime. Tutte le vulnerabilità e i relativi attacchi vengono illustrati mediante esercizi facilmente comprensibili; seguono quindi le linee guida consigliate per la scrittura di codice sicuro e le tecniche utili a prevenirle.

I partecipanti a questo corso impareranno

• Comprendere i concetti base della sicurezza, della sicurezza informatica e della programmazione sicura
• Conoscere le vulnerabilità web al di fuori dell’elenco OWASP Top Ten e saperle prevenire
• Capire i principi di sicurezza legati ai servizi web
• Utilizzare correttamente le varie funzionalità di sicurezza presenti nell’ambiente di sviluppo Java
• Ottenere una conoscenza pratica della crittografia
• Comprendere i meccanismi di protezione offerti da Java EE
• Identificare gli errori tipici nella scrittura del codice e imparare a evitarli
• Ricevere informazioni sulle vulnerabilità recentemente riscontrate nel framework Java
• Ottenere competenze pratiche sull’utilizzo di strumenti di test della sicurezza
• Disporre di fonti e materiali didattici utili per la programmazione sicura

A chi si rivolge il corso

Sviluppatori

Oggi sono disponibili numerosi linguaggi di programmazione per compilare codice da utilizzare con i framework .NET e ASP.NET. Questo ambiente offre strumenti potenti per lo sviluppo sicuro, ma gli sviluppatori devono saper applicare tecniche di progettazione e programmazione in grado di implementare le funzionalità di sicurezza desiderate e di prevenire o limitare l’exploit di vulnerabilità.

L’obiettivo di questo corso è insegnare agli sviluppatori, attraverso numerosi esercizi pratici, come impedire che codice non attendibile esegua operazioni privilegiate, proteggere le risorse tramite autenticazione e autorizzazione robuste, implementare chiamate remote tra procedure, gestire le sessioni utente, introdurre diverse implementazioni per determinate funzionalità, e molto altro ancora.

L’analisi delle varie vulnerabilità inizia presentando alcuni tipici errori di programmazione commessi nell’utilizzo di .NET; la trattazione delle problematiche di sicurezza relative ad ASP.NET riguarda invece diversi aspetti configurativi dell’ambiente e i loro effetti. Infine, il tema delle vulnerabilità specifiche di ASP.NET affronta non solo le sfide generali in materia di sicurezza delle applicazioni web, ma anche problematiche particolari e metodi di attacco come gli assalti al ViewState o gli attacchi basati sulla terminazione delle stringhe.

Alla fine del corso i partecipanti saranno in grado di

• Comprendere i concetti base della sicurezza, della sicurezza informatica e della programmazione sicura
• Conoscere le vulnerabilità web al di fuori delle cosiddette “Top Ten” di OWASP e imparare a evitarle
• Saper utilizzare i vari strumenti di sicurezza offerti dall’ambiente di sviluppo .NET
• Acquisire competenze pratiche nell’utilizzo degli strumenti di test della sicurezza
• Riconoscere gli errori tipici nella scrittura del codice e imparare a evitarli
• Ottenere informazioni su alcune recenti vulnerabilità emerse in .NET e ASP.NET
• Conoscere fonti e materiale didattico ulteriore sui best practice per una programmazione sicura

Destinatari del corso

Sviluppatori

Il corso fornisce le competenze essenziali per gli sviluppatori PHP necessarie per rendere le loro applicazioni resistenti agli attacchi contemporanei attraverso Internet. Le vulnerabilità web vengono discusse attraverso esempi basati su PHP che vanno oltre le OWASP Top Ten, affrontando vari tipi di attacchi di iniezione, iniezioni di script, attacchi contro la gestione delle sessioni di PHP, riferimenti a oggetti diretti non sicuri, problemi con il caricamento di file e molti altri. Le vulnerabilità legate a PHP sono introdotte raggruppate nei tipici tipi di vulnerabilità: validazione degli input mancante o inadeguata, gestione errata degli errori e delle eccezioni, uso improprio delle funzionalità di sicurezza e problemi legati al tempo e allo stato. Per questi ultimi, vengono discussi attacchi come l'elusione di open_basedir, denial-of-service tramite float magici o attacchi di collisione nelle tabelle hash. In tutti i casi, i partecipanti acquisiranno familiarità con le tecniche e le funzioni più importanti da utilizzare per mitigare i rischi elencati.

Viene dato un focus particolare alla sicurezza lato client, affrontando le problematiche di sicurezza di JavaScript, Ajax e HTML5. Vengono presentate diverse estensioni legate alla sicurezza per PHP, come hash, mcrypt e OpenSSL per la crittografia, oppure Ctype, ext/filter e HTML Purifier per la validazione degli input. Le migliori pratiche di hardening sono fornite in connessione con la configurazione di PHP (impostazione del file php.ini), Apache e il server in generale. Infine, viene offerta una panoramica dei vari strumenti e tecniche di testing della sicurezza che sviluppatori e tester possono utilizzare, inclusi scanner di sicurezza, test di penetrazione ed exploit pack, sniffers, proxy server, strumenti di fuzzing e analizzatori statici del codice sorgente.

Tanto l'introduzione delle vulnerabilità quanto le pratiche di configurazione sono supportate da una serie di esercizi pratici che dimostrano le conseguenze degli attacchi riusciti, mostrano come applicare le tecniche di mitigazione e introducono l'uso delle varie estensioni e strumenti.

I partecipanti frequentanti questo corso sapranno

• Comprendere i concetti fondamentali di sicurezza, IT security e coding sicuro
• Apprendere le vulnerabilità web oltre le OWASP Top Ten e sapere come evitarle
• Conoscere le vulnerabilità lato client e le pratiche di secure coding
• Avere una comprensione pratica della crittografia
• Imparare a utilizzare varie funzionalità di sicurezza di PHP
• Cogliere gli errori tipici di codifica e sapere come evitarli
• Essere aggiornati sulle recenti vulnerabilità del framework PHP
• Ricevere conoscenze pratiche sull'uso degli strumenti di testing della sicurezza
• Avere a disposizione fonti e letture ulteriori sulle pratiche di secure coding

Pubblico

Sviluppatori

Il corso introduttivo al Microsoft Secure Development Lifecycle (SDL) offre una panoramica sui principi fondamentali della progettazione, dello sviluppo e del testing sicuro di software. Viene presentato un quadro generale degli elementi chiave dell’SDL, seguito da indicazioni pratiche per individuare e correggere eventuali difetti sin dalle fasi iniziali dello sviluppo.

Durante la fase di implementazione, il corso illustra i tipici errori di programmazione che possono compromettere la sicurezza, sia nel codice gestito che in quello nativo. Vengono descritte le tecniche di attacco associate a tali vulnerabilità e i relativi metodi per contrastarle; tutto ciò è approfondito tramite numerosi esercizi pratici che permettono ai partecipanti di sperimentare direttamente tecniche di hacking etico.
Si procede quindi all’introduzione dei vari strumenti e metodologie di test della sicurezza, dimostrandone l’effettiva efficacia. Attraverso esercizi concreti i partecipanti potranno utilizzare tali strumenti per analizzare il codice precedentemente studiato.

A seguito della partecipazione a questo corso, gli allievi saranno in grado di

Comprendere i concetti fondamentali legati alla sicurezza informatica e alla programmazione sicura.

> Familiarizzare con le fasi principali previste nel Microsoft Secure Development Lifecycle.

Conoscere le best practice per una progettazione e uno sviluppo sicuri.

Comprendere i principi fondamentali di implementazione sicura del codice.

Afferrare la metodologia alla base dei test della sicurezza informatica.

• Ottenere risorse e ulteriori materiali utili sulla programmazione sicura.
  

Destinatari

Sviluppatori, Responsabili tecnici.

In questo corso dal vivo guidato da un istruttore in Italia, i partecipanti impareranno a formulare una strategia di sicurezza efficace per rispondere alle problematiche legate alla sicurezza nel contesto DevOps.

Il corso Ingegnere DevSecOps certificato dall’EC-Council (ECDE) è un percorso pratico pensato per dotare i professionisti delle competenze necessarie a integrare la sicurezza in ogni fase del ciclo di vita DevOps, favorendo così lo sviluppo di software sicuro dal momento della pianificazione alla distribuzione.

Si tratta di un training dal vivo tenuto da istruttori (in modalità online o in sede) rivolto a professionisti intermedi del settore software e DevOps che desiderano introdurre pratiche di sicurezza nei processi CI/CD, garantendo una distribuzione del codice sicura e conforme alle normative.

Al termine del corso, i partecipanti saranno in grado di:

• Comprendere i principi e le pratiche fondamentali del DevSecOps.
• Sicurezzaizzare ogni fase della pipeline CI/CD mediante l’utilizzo di strumenti automatizzati.
• Applicare tecniche di codifica sicura e effettuare la scansione delle vulnerabilità.
• Prepararsi alla certificazione ECDE grazie a laboratori pratici e verifiche mirate.

Struttura del corso

• Lezioni interattive e dibattiti guidati.
• Utilizzo pratico di strumenti DevSecOps all’interno di pipeline simulate.
• Esercitazioni mirate alla creazione e distribuzione sicura di software.

Opzioni di personalizzazione del corso

• Per richiedere un programma formativo su misura, in base ai flussi di lavoro o agli strumenti utilizzati dal vostro team, non esitate a contattarci per concordare i dettagli.

Questo corso in Italia si propone di aiutare nel modo seguente:

1. Aiutare gli sviluppatori a padroneggiare le tecniche per scrivere codice sicuro
2. Assistere i tester software nel verificare la sicurezza delle applicazioni prima del loro rilascio in produzione
3. Aiutare gli architetti software a comprendere i rischi legati alle applicazioni
4. Supportare i responsabili di team nell’individuazione dei requisiti minimi di sicurezza da imporre agli sviluppatori
5. Indirizzare i web master nella configurazione dei server per evitare errori di impostazione

Questo corso tratta i concetti e i principi della programmazione sicura in Java, utilizzando la metodologia di testing fornita dall’Open Web Application Security Project (OWASP). L’Open Web Application Security Project è una comunità online che produce articoli, metodologie, documentazione, strumenti e tecnologie gratuitamente, tutti legati alla sicurezza delle applicazioni web.

Questo corso tratta i concetti e i principi della programmazione sicura con ASP.NET attraverso la metodologia di test del Open Web Application Security Project (OWASP). OWASP è una comunità online che crea articoli, metodologie, documentazione, strumenti e tecnologie gratuitamente accessibili nel campo della sicurezza delle applicazioni web.

Questo corso esplora le funzionalità di sicurezza del framework .NET e come rendere sicure le applicazioni web.