Corso di formazione .NET, C# e Sviluppo della Sicurezza in ASP.NET

Implementare un'applicazione di rete sicura può risultare complesso, persino per gli sviluppatori che hanno già utilizzato vari elementi crittografici di base (come la cifratura e le firme digitali). Per aiutare i partecipanti a comprendere il ruolo e l'utilizzo di questi primitivi crittografici, viene prima fornita una solida base sui requisiti principali delle comunicazioni sicure: accettazione sicura, integrità, riservatezza, identificazione remota e anonimato. Vengono inoltre presentati i problemi tipici che possono compromettere tali requisiti insieme a soluzioni pratiche.

La crittografia è un aspetto cruciale della sicurezza di rete; pertanto, vengono esaminati gli algoritmi crittografici più importanti nei contesti di cifratura simmetrica, hashing, crittografia asimmetrica e accordo sulle chiavi. Invece di presentare una trattazione matematica approfondita, questi elementi vengono discussi da una prospettiva sviluppatoriale, mostrando esempi tipici di casi d'uso e considerazioni pratiche relative all'uso della crittografia, come le infrastrutture a chiave pubblica (PKI). Vengono introdotti i protocolli di sicurezza in vari ambiti delle comunicazioni sicure, con una discussione approfondita sulle famiglie di protocolli più diffuse come IPsec e SSL/TLS.

Vengono analizzate le vulnerabilità crittografiche tipiche sia in relazione ad alcuni algoritmi crittografici specifici che a protocolli crittografici, quali BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding Oracle, Lucky Thirteen, POODLE e simili, nonché l'attacco di timing su RSA. Per ciascun problema vengono descritte le considerazioni pratiche e le potenziali conseguenze, senza entrare nei dettagli matematici approfonditi.

Infine, poiché la tecnologia XML è centrale per lo scambio di dati nelle applicazioni di rete, ne vengono descritti gli aspetti di sicurezza. Questo include l'uso di XML all'interno di web service e messaggi SOAP, insieme a misure di protezione come la firma XML e la cifratura XML, nonché alle debolezze di tali misure di protezione e alle problematiche di sicurezza specifiche per XML quali iniezione XML, attacchi di entità esterna XML (XXE), bombe XML e iniezione XPath.

I partecipanti a questo corso saranno in grado di

• Comprendere i concetti fondamentali della sicurezza, della sicurezza informatica e del codifica sicura
• Comprendere i requisiti delle comunicazioni sicure
• Apprendere riguardo agli attacchi e alle difese di rete a diversi livelli OSI
• Avere una comprensione pratica della crittografia
• Comprendere i protocolli di sicurezza essenziali
• Conoscere alcuni attacchi recenti contro i sistemi crittografici
• Ricevere informazioni su alcune vulnerabilità correlate recenti
• Comprendere i concetti di sicurezza dei web service
• Trovare fonti e ulteriori letture sulle pratiche di codifica sicura

Destinatari

Sviluppatori, Professionisti

Scrivere codice C e C++ sicuro richiede una rigorosa difesa contro l'exploitation malevola, la corruzione della memoria e le bypassazioni della convalida degli input. Questo programma esamina i pattern di vulnerabilità inclusi i buffer overflow, l'uso dopo la liberazione (use-after-free), gli integer overflow e la confusione dei tipi. I partecipanti applicano le linee guida per il coding sicuro, strumenti di analisi statica e tecniche di programmazione difensiva per eliminare le debolezze, imporre la sanificazione degli input e fornire software robusto resistente agli attacchi informatici.

Anche i programmatori Java esperti non padroneggiano necessariamente tutti i servizi di sicurezza offerti da Java, né sono a conoscenza delle diverse vulnerabilità che possono interessare le applicazioni web sviluppate in questo linguaggio.

Il corso, oltre a introdurre i componenti di sicurezza presenti nella versione standard di Java, affronta anche le problematiche legate alla sicurezza nell’ambito di Java Enterprise Edition (JEE) e dei servizi web. Prima di esaminare in dettaglio tali servizi, vengono trattati i concetti fondamentali di crittografia e comunicazione protetta. Numerosi esercizi pratici illustrano le tecniche di sicurezza sia dichiarative che programmatiche in JEE; inoltre si analizzano aspetti legati alla protezione dei servizi web sia a livello del trasporto che in modo end-to-end. L’utilizzo di tutti i componenti viene presentato attraverso esercitazioni pratiche, nelle quali i partecipanti possono sperimentare direttamente le API e gli strumenti trattati.

Il corso si sofferma inoltre sui difetti di programmazione più comuni e gravi nel contesto del linguaggio Java, nonché sulle vulnerabilità legate al web. Oltre agli errori tipici commessi dai programmatori Java, vengono esaminate anche problematiche specifiche del linguaggio stesso o relative all’ambiente di runtime. Tutte le vulnerabilità e i relativi attacchi vengono illustrati mediante esercizi facilmente comprensibili; seguono quindi le linee guida consigliate per la scrittura di codice sicuro e le tecniche utili a prevenirle.

I partecipanti a questo corso impareranno

• Comprendere i concetti base della sicurezza, della sicurezza informatica e della programmazione sicura
• Conoscere le vulnerabilità web al di fuori dell’elenco OWASP Top Ten e saperle prevenire
• Capire i principi di sicurezza legati ai servizi web
• Utilizzare correttamente le varie funzionalità di sicurezza presenti nell’ambiente di sviluppo Java
• Ottenere una conoscenza pratica della crittografia
• Comprendere i meccanismi di protezione offerti da Java EE
• Identificare gli errori tipici nella scrittura del codice e imparare a evitarli
• Ricevere informazioni sulle vulnerabilità recentemente riscontrate nel framework Java
• Ottenere competenze pratiche sull’utilizzo di strumenti di test della sicurezza
• Disporre di fonti e materiali didattici utili per la programmazione sicura

A chi si rivolge il corso

Sviluppatori

Il corso fornisce le competenze essenziali per gli sviluppatori PHP necessarie per rendere le loro applicazioni resistenti agli attacchi contemporanei attraverso Internet. Le vulnerabilità web vengono discusse attraverso esempi basati su PHP che vanno oltre le OWASP Top Ten, affrontando vari tipi di attacchi di iniezione, iniezioni di script, attacchi contro la gestione delle sessioni di PHP, riferimenti a oggetti diretti non sicuri, problemi con il caricamento di file e molti altri. Le vulnerabilità legate a PHP sono introdotte raggruppate nei tipici tipi di vulnerabilità: validazione degli input mancante o inadeguata, gestione errata degli errori e delle eccezioni, uso improprio delle funzionalità di sicurezza e problemi legati al tempo e allo stato. Per questi ultimi, vengono discussi attacchi come l'elusione di open_basedir, denial-of-service tramite float magici o attacchi di collisione nelle tabelle hash. In tutti i casi, i partecipanti acquisiranno familiarità con le tecniche e le funzioni più importanti da utilizzare per mitigare i rischi elencati.

Viene dato un focus particolare alla sicurezza lato client, affrontando le problematiche di sicurezza di JavaScript, Ajax e HTML5. Vengono presentate diverse estensioni legate alla sicurezza per PHP, come hash, mcrypt e OpenSSL per la crittografia, oppure Ctype, ext/filter e HTML Purifier per la validazione degli input. Le migliori pratiche di hardening sono fornite in connessione con la configurazione di PHP (impostazione del file php.ini), Apache e il server in generale. Infine, viene offerta una panoramica dei vari strumenti e tecniche di testing della sicurezza che sviluppatori e tester possono utilizzare, inclusi scanner di sicurezza, test di penetrazione ed exploit pack, sniffers, proxy server, strumenti di fuzzing e analizzatori statici del codice sorgente.

Tanto l'introduzione delle vulnerabilità quanto le pratiche di configurazione sono supportate da una serie di esercizi pratici che dimostrano le conseguenze degli attacchi riusciti, mostrano come applicare le tecniche di mitigazione e introducono l'uso delle varie estensioni e strumenti.

I partecipanti frequentanti questo corso sapranno

• Comprendere i concetti fondamentali di sicurezza, IT security e coding sicuro
• Apprendere le vulnerabilità web oltre le OWASP Top Ten e sapere come evitarle
• Conoscere le vulnerabilità lato client e le pratiche di secure coding
• Avere una comprensione pratica della crittografia
• Imparare a utilizzare varie funzionalità di sicurezza di PHP
• Cogliere gli errori tipici di codifica e sapere come evitarli
• Essere aggiornati sulle recenti vulnerabilità del framework PHP
• Ricevere conoscenze pratiche sull'uso degli strumenti di testing della sicurezza
• Avere a disposizione fonti e letture ulteriori sulle pratiche di secure coding

Pubblico

Sviluppatori

Il corso introduttivo al Microsoft Secure Development Lifecycle (SDL) offre una panoramica sui principi fondamentali della progettazione, dello sviluppo e del testing sicuro di software. Viene presentato un quadro generale degli elementi chiave dell’SDL, seguito da indicazioni pratiche per individuare e correggere eventuali difetti sin dalle fasi iniziali dello sviluppo.

Durante la fase di implementazione, il corso illustra i tipici errori di programmazione che possono compromettere la sicurezza, sia nel codice gestito che in quello nativo. Vengono descritte le tecniche di attacco associate a tali vulnerabilità e i relativi metodi per contrastarle; tutto ciò è approfondito tramite numerosi esercizi pratici che permettono ai partecipanti di sperimentare direttamente tecniche di hacking etico.
Si procede quindi all’introduzione dei vari strumenti e metodologie di test della sicurezza, dimostrandone l’effettiva efficacia. Attraverso esercizi concreti i partecipanti potranno utilizzare tali strumenti per analizzare il codice precedentemente studiato.

A seguito della partecipazione a questo corso, gli allievi saranno in grado di

Comprendere i concetti fondamentali legati alla sicurezza informatica e alla programmazione sicura.

> Familiarizzare con le fasi principali previste nel Microsoft Secure Development Lifecycle.

Conoscere le best practice per una progettazione e uno sviluppo sicuri.

Comprendere i principi fondamentali di implementazione sicura del codice.

Afferrare la metodologia alla base dei test della sicurezza informatica.

• Ottenere risorse e ulteriori materiali utili sulla programmazione sicura.
  

Destinatari

Sviluppatori, Responsabili tecnici.

In questo corso dal vivo guidato da un istruttore in Italia, i partecipanti impareranno a formulare una strategia di sicurezza efficace per rispondere alle problematiche legate alla sicurezza nel contesto DevOps.

Il corso Ingegnere DevSecOps certificato dall’EC-Council (ECDE) è un percorso pratico pensato per dotare i professionisti delle competenze necessarie a integrare la sicurezza in ogni fase del ciclo di vita DevOps, favorendo così lo sviluppo di software sicuro dal momento della pianificazione alla distribuzione.

Si tratta di un training dal vivo tenuto da istruttori (in modalità online o in sede) rivolto a professionisti intermedi del settore software e DevOps che desiderano introdurre pratiche di sicurezza nei processi CI/CD, garantendo una distribuzione del codice sicura e conforme alle normative.

Al termine del corso, i partecipanti saranno in grado di:

• Comprendere i principi e le pratiche fondamentali del DevSecOps.
• Sicurezzaizzare ogni fase della pipeline CI/CD mediante l’utilizzo di strumenti automatizzati.
• Applicare tecniche di codifica sicura e effettuare la scansione delle vulnerabilità.
• Prepararsi alla certificazione ECDE grazie a laboratori pratici e verifiche mirate.

Struttura del corso

• Lezioni interattive e dibattiti guidati.
• Utilizzo pratico di strumenti DevSecOps all’interno di pipeline simulate.
• Esercitazioni mirate alla creazione e distribuzione sicura di software.

Opzioni di personalizzazione del corso

• Per richiedere un programma formativo su misura, in base ai flussi di lavoro o agli strumenti utilizzati dal vostro team, non esitate a contattarci per concordare i dettagli.

Questo corso in Italia si propone di aiutare nel modo seguente:

1. Aiutare gli sviluppatori a padroneggiare le tecniche per scrivere codice sicuro
2. Assistere i tester software nel verificare la sicurezza delle applicazioni prima del loro rilascio in produzione
3. Aiutare gli architetti software a comprendere i rischi legati alle applicazioni
4. Supportare i responsabili di team nell’individuazione dei requisiti minimi di sicurezza da imporre agli sviluppatori
5. Indirizzare i web master nella configurazione dei server per evitare errori di impostazione

Questo corso tratta i concetti e i principi della programmazione sicura in Java, utilizzando la metodologia di testing fornita dall’Open Web Application Security Project (OWASP). L’Open Web Application Security Project è una comunità online che produce articoli, metodologie, documentazione, strumenti e tecnologie gratuitamente, tutti legati alla sicurezza delle applicazioni web.

Questo corso tratta i concetti e i principi della programmazione sicura con ASP.NET attraverso la metodologia di test del Open Web Application Security Project (OWASP). OWASP è una comunità online che crea articoli, metodologie, documentazione, strumenti e tecnologie gratuitamente accessibili nel campo della sicurezza delle applicazioni web.

Questo corso esplora le funzionalità di sicurezza del framework .NET e come rendere sicure le applicazioni web.