Продолжительность: 2 дня

Номер курса: NTC-IS-CS2008-2

Стоимость: 21900 руб.

Описание курса

Интернет-технологии поменяли экономику, повлияли на привычные бизнес-модели и процессы. Электронная коммерция привела к эволюции коммуникационных каналов, попутно породив множество новых способов зарабатывания денег. Целью информационных технологий является обеспечение непрерывности бизнес-процессов и, если тому суждено случиться, скорейшее преодоление последствий инцидента как гарантия успеха бизнеса компании в целом.

Главные цели тренинга

• Продемонстрировать и дать слушателям попрактиковаться в осуществлении атак против различных веб-приложений
• Обучить студентов разбираться в методике и практиках осуществления тестирования информационных систем,
• Ознакомить слушателей с действиями в случае дигитального инцидента с целью минимизации потерь и принятия адекватных мер противодействия.

Курс предназначен для:

• Администраторов и менеджеров по информационной безопасности
• Сетевых администраторов, ответственных за информационную безопасность
• Разработчиков и тестеров веб-приложений
• Руководителей служб ОБИ (CSIO)
• Экспертов и аналитиков по ИБ
• Действующих работников секьюрити-компаний
• ИТ-менеджеров
• Всех, интересующихся механизмами защиты информации

Минимальный уровень предварительной подготовки

• Средний уровень технических знаний по информационной безопасности, включая знание отдельных мер, средств и технологий защиты информации
• Базовое знание Windows и Linux, PHP и MySQL
• Навыки в программировании
• Прохождение первой части тренинга и иных тренингов-практикумов по безопасности инфосистем.

Программа курса:

• Осуществление «простых» атак на веб-приложения - архитектура веб-приложений, основные компоненты Web-приложений, уязвимости и типовые ошибки,
• Утечки информации, пример TEMPEST
• Использование Google
• Браузеры: клиенты для Web-приложений, уязвимости браузеров
• Drive Through Pharming
• HTTPS - принципы работы HTTPS, технические уязвимости, человеческий фактор
• Специфические уязвимости - техника SQL-Injection, детальное описание, использование
• Middleware, взлом PHP
• URL Poisoning, использование для доступа через уязвимости программ
• Техника вложения файла (File Inclusion) – что это такое, как работает, как выполнять анализ исходного кода и поиск уязвимостей
• XSS: Cross Site Scripting - принципы, - Hijacking ("перехват") сайта, Hijacking ("перехват") сессии, использование уязвимостей сети
• Social engineering
• Тесты на проникновение - зачем и когда следует проводить тесты на проникновение, виды тестов на проникновение
• Методики проведения тестов на проникновение - OSSTMM v 3.0, OWASP, неопубликованная (пока) NIST
• Результаты тестов на проникновение
• 10 лет тестирований — некоторый опыт
• Дигитальный инцидент произошёл - чего НЕ НАДО делать, что делать
• Действия Incident Responce
• Как осуществляется «Активная» защита - технологические средства, процедуры и действия, человеческий фактор,
• Новые направления - Hacking of Smart Devices

Практические заниятия

• Использование Google
• «Обычный» SQL-Injection
• «Выдаивание» информации через сообщения об ошибках
• Blind-injection
• Использование Cross-Site Scripting
• Анализ исходного кода с помощью File Inclusion
• Проведение тестов на проникновение