Corso di formazione Sicurezza di Rete e Comunicazione Sicura

1. Introduzione alla Sicurezza IT e alla Codifica Sicura

• Principi di sicurezza delle informazioni
• Riservatezza, Integrità e Disponibilità (CIA)
• Autenticazione, autorizzazione e tracciabilità
• Sicurezza by design
• Ciclo di vita dello sviluppo del software sicuro (SSDLC)
• Rischi comuni per la sicurezza del software
• Principi di codifica sicura

2. Requisiti della Comunicazione Sicura

• Riservatezza
• Integrità
• Autenticazione
• Non ripudio
• Disponibilità
• Identificazione sicura
• Privacy e anonimato
• Modellazione delle minacce per le applicazioni di rete

3. Fondamenti della Sicurezza di Rete

• Modello di sicurezza OSI e TCP/IP
• Architettura di rete
• Protocolli di rete comuni
• Superfici di attacco nelle applicazioni di rete
• Firewalls e segmentazione di rete
• Principi di progettazione di rete sicura

4. Attacchi e Difese di Rete

• Sniffing dei pacchetti
• Attacchi di spoofing
• Man-in-the-Middle (MITM)
• Hijacking di sessioni
• Attacchi di replay
• Denial-of-Service (DoS) e Distributed DoS
• Monitoraggio di rete e rilevamento delle intrusioni

5. Fondamenti Pratici della Crittografia

• Terminologia crittografica
• Crittografia simmetrica
• Crittografia asimmetrica
• Funzioni hash
• Codici di Autenticazione del Messaggio (MAC)
• Firme digitali
• Generazione di numeri casuali
• Concetti di gestione delle chiavi

6. Crittografia Simmetrica e Asimmetrica

• AES e algoritmi simmetrici moderni
• Fondamenti di RSA
• Crittografia a curva ellittica (ECC)
• Crittografia ibrida
• Mecanismi di scambio delle chiavi
• Considerazioni pratiche per l'implementazione

7. Hashing e Sicurezza delle Password

• Funzioni hash crittografiche
• Algoritmi di hashing delle password
• Tecniche salt e pepper
• Funzioni di derivazione delle chiavi
• Archiviazione sicura delle credenziali
• Tecniche di attacco alle password
• Migliori pratiche per la sicurezza delle password

8. Infrastruttura a Chiave Pubblica (PKI)

• Certificati digitali
• Autorità di Certificazione (CA)
• Catene di certificati
• Validazione dei certificati
• Revoca dei certificati
• Modelli di fiducia
• Implementazione pratica di PKI

9. Protocolli di Sicurezza

• Architettura SSL e TLS
• Handshake TLS
• Comunicazione HTTPS
• Panoramica di IPsec
• Tecnologie VPN
• Secure Shell (SSH)
• Protocolli di email sicura
• Migliori pratiche per la comunicazione sicura

10. Vulnerabilità Crittografiche

• Algoritmi crittografici deboli
• Gestione impropria delle chiavi
• Generazione insicura di numeri casuali
• Attacchi Padding oracle
• Attacchi basati sui tempi (Timing attacks)
• Attacchi Side-channel
• Errori nell'implementazione crittografica

11. Analisi di Attacchi Crittografici nel Mondo Reale

• BEAST
• BREACH
• CRIME
• TIME
• POODLE
• FREAK
• Logjam
• Lucky Thirteen
• Attacchi RSA basati sui tempi
• Lezioni apprese dalle vulnerabilità storiche

12. Sviluppo di Applicazioni di Rete Sicure

• Progettazione della comunicazione sicura
• Comunicazione API sicura
• Gestione sicura delle sessioni
• Mecanismi di autenticazione sicuri
• Gestione sicura dei token
• Gestione sicura della configurazione

13. Sicurezza dei Servizi Web

• Architettura dei servizi web
• Sicurezza SOAP
• Considerazioni sulla sicurezza REST
• Metodi di autenticazione
• Strategie di autorizzazione
• Comunicazione sicura dei servizi

14. Sicurezza XML

• Fondamenti di XML
• Firma XML
• Crittografia XML
• Gestione delle chiavi XML
• Elaborazione sicura di XML
• Validazione XML

15. Attacchi Basati su XML

• Iniezione XML
• Iniezione XPath
• Entità Esterne XML (XXE)
• Attacchi Bombe XML
• Attacchi di espansione delle entità
• Tecniche di mitigazione

16. Migliori Pratiche di Codifica Sicura

• Validazione degli input
• Codifica degli output
• Gestione sicura degli errori
• Logging sicuro
• Programmazione difensiva
• Gestione sicura delle eccezioni
• Gestione delle dipendenze

17. Test di Sicurezza

• Test Statici della Sicurezza delle Applicazioni (SAST)
• Test Dinamici della Sicurezza delle Applicazioni (DAST)
• Test Interattivi della Sicurezza delle Applicazioni (IAST)
• Scansione delle vulnerabilità delle dipendenze
• Panoramica sui test di penetrazione
• Tecniche di revisione del codice sicuro

18. Deployment e Operazioni Sicure

• Configurazione sicura del software
• Gestione dei segreti
• Rafforzamento dell'ambiente
• Monitoraggio della sicurezza
• Gestione delle patch
• Concetti di DevOps sicuro

19. Risposta agli Incidenti e Gestione delle Vulnerabilità

• Ciclo di vita degli incidenti di sicurezza
• Valutazione delle vulnerabilità
• Panoramica su CVE e CVSS
• Avvisi di sicurezza
• Divulgazione responsabile delle vulnerabilità
• Pianificazione delle riparazioni

20. Workshop Pratico di Codifica Sicura

• Implementazione della comunicazione sicura
• Configurazione corretta di TLS
• Utilizzo sicuro delle librerie crittografiche
• Identificazione del codice non sicuro
• Correzione dei difetti di sicurezza comuni
• Esercizi su elaborazione sicura di XML

21. Riepilogo e Ulteriore Apprendimento

• Rassegna dei concetti chiave di sicurezza
• Piccoli passi comuni nelle implementazioni
• Standard e linee guida per la codifica sicura
• Raccomandazioni OWASP
• Framework del settore e conformità
• Risorse aggiuntive per l'apprendimento
• Domande e risposte