Cyber Security Body of Knowledge (CyBOK) Képzés

Ez az oktató által vezetett, élő képzés Magyarország (online vagy helyszíni) rendszergazdáknak szól, akik a 389 Directory Server használatával szeretnék konfigurálni és kezelni az LDAP-alapú hitelesítést és engedélyezést.

A képzés végére a résztvevők képesek lesznek:

• Telepíteni és konfigurálni a 389 Directory Server-t.
• Megérteni a 389 Directory Server funkcióit és architektúráját.
• Megtanulni, hogyan konfigurálható a címszerver a webkonzolon és a CLI-n keresztül.
• Beállítani és monitorozni a replikációt a magas rendelkezésre állás és terheléselosztás érdekében.
• Kezelni az LDAP hitelesítést SSSD segítségével a gyorsabb teljesítmény érdekében.
• Integrálni a 389 Directory Server-t a Microsoft Active Directory-val.

Ez az oktató által vezetett, élő képzés Magyarország (online vagy helyszíni) rendszergazdáknak szól, akik a Microsoft Active Directoryt szeretnék használni az adathozzáférés kezelésére és biztosítására.

A képzés végén a résztvevők képesek lesznek:

• Az Active Directory beállítására és konfigurálására.
• Tartomány létrehozására és a felhasználók és eszközök hozzáférési jogainak meghatározására.
• Felhasználók és gépek kezelésére Csoportházirendek segítségével.
• Fájlszerverekhez való hozzáférés szabályozására.
• Tanúsítványszolgáltatás beállítására és tanúsítványok kezelésére.
• Olyan szolgáltatások implementálására és kezelésére, mint a titkosítás, tanúsítványok és hitelesítés.

Ez a három napos kurzus a C/C++ kód biztonságossá tételének alapjait mutatja be, amelyekkel a rosszindulatú felhasználók által kihasználható sebezhetőségek ellen lehet védekezni, különös tekintettel a memóriakezelésre és a bemenetkezelésre. A kurzus a biztonságos kódírás alapelveit is bemutatja.

Még a tapasztalt Java programozók sem ismerik minden esetben a Java által kínált különböző biztonsági szolgáltatásokat, és szintén nem tudnak a Java nyelven írt webalkalmazásokra vonatkozó különféle sebezhetőségekről.

A kurzus – a Standard Java Edition biztonsági összetevőinek bemutatása mellett – foglalkozik a Java Enterprise Edition (JEE) és a webszolgáltatások biztonsági kérdéseivel. A konkrét szolgáltatások tárgyalása előtt a kriptográfia és a biztonságos kommunikáció alapjait ismertetjük. Különféle gyakorlatok során a JEE deklaratív és programozott biztonsági technikáit vizsgáljuk, miközben a webszolgáltatások szállítási rétegbeli és végpontok közötti biztonságát is tárgyaljuk. Az összes összetevő használatát számos gyakorlati feladaton keresztül mutatjuk be, ahol a résztvevők kipróbálhatják a tárgyalt API-kat és eszközöket.

A kurzus során áttekintjük és magyarázzuk a Java nyelv és platform leggyakoribb és legsúlyosabb programozási hibáit, valamint a webre vonatkozó sebezhetőségeket. A Java programozók által elkövetett tipikus hibák mellett a bemutatott biztonsági rések magukban foglalják a nyelvspecifikus problémákat és a futási környezetből származó hibákat is. Minden sebezhetőséget és a hozzá kapcsolódó támadásokat könnyen érthető gyakorlatokon keresztül mutatjuk be, majd a javasolt kódolási irányelveket és a lehetséges enyhítési technikákat ismertetjük.

A kurzusra jelentkező résztvevők

• Megismerik a biztonság, az informatikai biztonság és a biztonságos kódolás alapfogalmait
• Megismerik az OWASP Top Tenen túlmutató webes sebezhetőségeket és megtanulják, hogyan kerüljék el őket
• Megértik a webszolgáltatások biztonsági koncepcióit
• Megtanulják használni a Java fejlesztői környezet különféle biztonsági funkcióit
• Gyakorlati ismereteket szereznek a kriptográfiáról
• Megértik a Java EE biztonsági megoldásait
• Megismerik a tipikus kódolási hibákat és megtanulják, hogyan kerüljék el őket
• Tájékozódnak a Java keretrendszer néhány friss sebezhetőségéről
• Gyakorlati ismereteket szereznek a biztonsági tesztelési eszközök használatában
• Forrásokat és további olvasmányokat kapnak a biztonságos kódolás gyakorlatáról

Célközönség

Fejlesztők

Leírás

A Java nyelv és a Runtime Environment (JRE) úgy lett tervezve, hogy mentes legyen a más nyelvekben, például a C/C++-ban előforduló legproblémásabb biztonsági sebezhetőségektől. Azonban a szoftverfejlesztőknek és architektoknak nemcsak azt kell tudniuk, hogyan használják a Java környezet különböző biztonsági funkcióit (pozitív biztonság), hanem tisztában kell lenniük azokkal a számos sebezhetőséggel is, amelyek még mindig relevánsak a Java fejlesztés során (negatív biztonság).

A biztonsági szolgáltatások bevezetése előtt rövid áttekintést kapunk a kriptográfia alapjairól, ami közös alapot biztosít az alkalmazható komponensek céljának és működésének megértéséhez. Ezeknek a komponenseknek a használatát számos gyakorlati feladaton keresztül mutatjuk be, ahol a résztvevők kipróbálhatják a tárgyalt API-kat.

A kurzus során áttekintjük és magyarázzuk a Java nyelv és platform leggyakoribb és legsúlyosabb programozási hibáit, beleértve mind a Java programozók által elkövetett tipikus hibákat, mind a nyelv- és környezetspecifikus problémákat. Minden sebezhetőséget és a hozzá kapcsolódó támadásokat könnyen érthető gyakorlatokon keresztül mutatjuk be, amelyeket ajánlott kódolási irányelvek és lehetséges enyhítési technikák követnek.

A kurzusra jelentkező résztvevők

• Megértik a biztonság, az informatikai biztonság és a biztonságos kódolás alapvető fogalmait
• Megismerik az OWASP Top Ten-en túlmutató webes sebezhetőségeket és megtanulják, hogyan kerüljék el azokat
• Megtanulják használni a Java fejlesztői környezet különböző biztonsági funkcióit
• Gyakorlati ismereteket szereznek a kriptográfiáról
• Megismerik a tipikus kódolási hibákat és megtanulják, hogyan kerüljék el azokat
• Tájékozódnak a Java keretrendszer néhány friss sebezhetőségéről
• Forrásokat és további olvasmányokat kapnak a biztonságos kódolási gyakorlatokról

Célközönség

Fejlesztők

Számos programozási nyelv áll rendelkezésre napjainkban a .NET és ASP.NET keretrendszerekhez történő kód fordítására. A környezet hatékony eszközöket kínál a biztonsági fejlesztéshez, de a fejlesztőknek tudniuk kell, hogyan alkalmazzák az architektúra- és kódolási szintű programozási technikákat a kívánt biztonsági funkciók megvalósítása érdekében, valamint a sebezhetőségek elkerülése vagy kihasználásának korlátozása céljából.

Ennek a kurzusnak az a célja, hogy számos gyakorlati feladaton keresztül megtanítsa a fejlesztőknek, hogyan akadályozzák meg, hogy a nem megbízható kód kiváltságos műveleteket hajtson végre, hogyan védjék az erőforrásokat erős hitelesítéssel és engedélyezéssel, hogyan biztosítsanak távoli eljáráshívásokat, kezeljék a munkameneteket, bemutassanak különböző implementációkat bizonyos funkciókhoz, és még sok más.

A különböző sebezhetőségek bemutatása a .NET használata során elkövetett tipikus programozási hibák bemutatásával kezdődik, míg az ASP.NET sebezhetőségeinek tárgyalása során különböző környezeti beállításokat és azok hatásait is megvizsgáljuk. Végül, az ASP.NET-specifikus sebezhetőségek témaköre nemcsak az általános webalkalmazás-biztonsági kihívásokkal foglalkozik, hanem speciális problémákkal és támadási módszerekkel is, mint például a ViewState támadása vagy a sztring lezárási támadások.

A kurzusra jelentkező résztvevők

• Megértik a biztonság, az IT biztonság és a biztonságos kódolás alapvető fogalmait
• Megismerik az OWASP Top Ten túlmutató webes sebezhetőségeket és megtanulják, hogyan kerüljék el azokat
• Megtanulják használni a .NET fejlesztői környezet különböző biztonsági funkcióit
• Gyakorlati ismereteket szereznek a biztonsági tesztelési eszközök használatában
• Megismerik a tipikus kódolási hibákat és megtanulják, hogyan kerüljék el azokat
• Információt szereznek néhány friss .NET és ASP.NET sebezhetőségről
• Forrásokat és további olvasmányokat kapnak a biztonságos kódolási gyakorlatokról

Célközönség

Fejlesztők

A Kombinált SDL alapképzés betekintést nyújt a biztonságos szoftvertervezésbe, fejlesztésbe és tesztelésbe a Microsoft Secure Development Lifecycle (SDL) keretében. A képzés szintje 100, amely áttekintést ad az SDL alapvető építőelemeiről, majd tervezési technikákat mutat be a hibák felismerésére és javítására a fejlesztési folyamat korai szakaszaiban.

A fejlesztési fázissal foglalkozva a kurzus áttekintést nyújt mind a managed, mind a natív kód tipikus biztonsági hibáiról. A tárgyalt sebezhetőségekhez kapcsolódó támadási módszereket és azok enyhítési technikáit mutatjuk be, mindezt számos gyakorlati feladaton keresztül, amelyek élvezetes hackelési élményt nyújtanak a résztvevőknek. A különböző biztonsági tesztelési módszerek bemutatása után bemutatjuk a különböző tesztelési eszközök hatékonyságát. A résztvevők gyakorlati feladatok során megismerhetik ezeknek az eszközöknek a működését, amikor azokat a már tárgyalt sebezhető kódra alkalmazzák.

A kurzus résztvevői a következőket fogják megtanulni:

Megismerik a biztonság, az IT biztonság és a biztonságos kódolás alapvető fogalmait

Megismerkednek a Microsoft Secure Development Lifecycle alapvető lépéseivel

Megtanulják a biztonságos tervezési és fejlesztési gyakorlatokat

Megismerik a biztonságos implementáció elveit

Megértik a biztonsági tesztelési módszertant

• Forrásokat és további olvasmányokat kapnak a biztonságos kódolási gyakorlatokról

Célközönség

Fejlesztők, Menedzserek

A résztvevők a sebezhetőségek és a támadási módszerek megismerése után a biztonsági tesztelés általános megközelítéséről és módszertanáról, valamint az egyes sebezhetőségek feltárására alkalmazható technikákról tanulnak. A biztonsági tesztelésnek a rendszerrel kapcsolatos információk gyűjtésével kell kezdődnie (ToC, azaz az értékelés célja), majd egy alapos veszélyforrás-modellezés során minden fenyegetést fel kell tárni és értékelni kell, hogy a legmegfelelőbb kockázatelemzés-alapú teszttervhez jussunk.

A biztonsági értékelések a szoftverfejlesztési életciklus különböző szakaszaiban történhetnek, ezért tárgyaljuk a tervezés felülvizsgálatát, a kód felülvizsgálatát, a rendszer felderítését és információgyűjtését, a megvalósítás tesztelését, valamint a környezet biztonságos üzembe helyezéséhez szükséges tesztelést és megerősítést. Számos biztonsági tesztelési technikát részletesen bemutatunk, mint például a szennyezés-elemzés és a heurisztikus kód felülvizsgálat, a statikus kódelemzés, a dinamikus webes sebezhetőségi tesztelés vagy a fuzzing. Bemutatunk különféle típusú eszközöket, amelyek a szoftvertermékek biztonsági értékelésének automatizálására használhatók, és ezt számos gyakorlat is támogatja, ahol ezeket az eszközöket végrehajtjuk az előzőleg tárgyalt sebezhető kód elemzésére. Számos valós esettanulmány segíti a különböző sebezhetőségek jobb megértését.

Ez a képzés felkészíti a tesztelőket és a minőségbiztosítási személyzetet a biztonsági tesztek megfelelő tervezésére és precíz végrehajtására, a legmegfelelőbb eszközök és technikák kiválasztására és használatára a rejtett biztonsági hibák megtalálásához, így alapvető gyakorlati készségeket ad, amelyeket már a következő munkanapon is alkalmazhatnak.

A képzésre érkező résztvevők

• Megismerik a biztonság, az informatikai biztonság és a biztonságos kódolás alapvető fogalmait
• Megismerik az OWASP Top Tenen túlmutató webes sebezhetőségeket és megtanulják, hogyan kerülhetik el őket
• Megismerik a kliensoldali sebezhetőségeket és a biztonságos kódolási gyakorlatokat
• Megértik a biztonsági tesztelés megközelítéseit és módszertanát
• Gyakorlati ismereteket szereznek a biztonsági tesztelési technikák és eszközök használatában
• Forrásokat és további olvasmányokat kapnak a biztonságos kódolási gyakorlatokról

Célközönség

Fejlesztők, tesztelők

A weben keresztül elérhető alkalmazások védelme jól felkészült biztonsági szakembereket igényel, akik mindig tisztában vannak a jelenlegi támadási módszerekkel és trendekkel. Számos technológia és környezet létezik, amelyek lehetővé teszik a webalkalmazások kényelmes fejlesztését. Nemcsak az ezekkel a platformokkal kapcsolatos biztonsági kérdésekről kell tudni, hanem az összes általános sebezhetőségről is, amelyek függetlenek a használt fejlesztői eszközöktől.

A kurzus áttekintést nyújt a webalkalmazásokban alkalmazható biztonsági megoldásokról, különös hangsúlyt fektetve a legfontosabb kriptográfiai megoldások megértésére. A különböző webalkalmazás-sebezhetőségek bemutatása a szerver oldalon (az OWASP Top Ten alapján) és a kliens oldalon egyaránt történik, a releváns támadásokon keresztül bemutatva, majd az ajánlott kódolási technikák és enyhítő módszerek következnek, amelyekkel elkerülhetők a kapcsolódó problémák. A biztonságos kódolás témakörét olyan tipikus biztonsággal kapcsolatos programozási hibák tárgyalása zárja, mint a bemeneti adatok ellenőrzése, a biztonsági funkciók helytelen használata és a kódminőség.

A tesztelés kiemelkedően fontos szerepet játszik a webalkalmazások biztonságának és robusztusságának biztosításában. Különböző megközelítések – a magas szintű auditálástól a penetrációs tesztelésen át az etikus hackelésig – alkalmazhatók a különböző típusú sebezhetőségek felderítésére. Azonban, ha túl szeretne lépni a könnyen megtalálható, „alacsonyan lógó gyümölcsökön”, a biztonsági tesztelést jól meg kell tervezni és megfelelően végre kell hajtani. Ne feledje: ideális esetben a biztonsági tesztelőknek minden hibát meg kell találniuk a rendszer védelme érdekében, míg az ellenfelek számára elég egy kihasználható sebezhetőséget találniuk a behatoláshoz.

A gyakorlati feladatok segítenek megérteni a webalkalmazások sebezhetőségeit, a programozási hibákat, és ami a legfontosabb, az enyhítő technikákat, valamint különböző tesztelési eszközök gyakorlati kipróbálását a biztonsági szkennerektől kezdve a sniffereken és proxy szervereken át a fuzzing eszközökhöz és a statikus forráskód-elemzőkhöz. Ez a kurzus olyan alapvető gyakorlati készségeket nyújt, amelyek már a következő napon alkalmazhatók a munkahelyen.

A kurzusra jelentkezők

• Megismerik a biztonság, az informatikai biztonság és a biztonságos kódolás alapfogalmait
• Megismerik az OWASP Top Ten túlmutató webes sebezhetőségeket és megtanulják, hogyan kerüljék el őket
• Megismerik a kliens oldali sebezhetőségeket és a biztonságos kódolási gyakorlatokat
• Gyakorlati ismereteket szereznek a kriptográfiáról
• Megértik a biztonsági tesztelési megközelítéseket és módszereket
• Gyakorlati ismereteket szereznek a biztonsági tesztelési technikák és eszközök használatában
• Tájékozottak lesznek a legújabb sebezhetőségekről különböző platformokon, keretrendszerekben és könyvtárakban
• Forrásokat és további olvasmányokat kapnak a biztonságos kódolási gyakorlatokról

Célközönség

Fejlesztők, Tesztelők

Ez az oktató által vezetett, élő képzés Magyarország (online vagy helyszíni) rendszergazdáknak szól, akik szeretnék a FreeIPA segítségével központosítani a szervezetük felhasználóinak, csoportjainak és gépeinek hitelesítését, engedélyezését és fiókinformációit.

A képzés végére a résztvevők képesek lesznek:

• A FreeIPA telepítésére és konfigurálására.
• Linux felhasználók és kliensek kezelésére egyetlen központi helyről.
• A FreeIPA CLI, Web UI és RPC interfészének használatára engedélyek beállításához és kezeléséhez.
• Single Sign On hitelesítés engedélyezésére az összes rendszer, szolgáltatás és alkalmazás számára.
• A FreeIPA integrálására a Windows Active Directory-val.
• FreeIPA szerver biztonsági mentésére, replikálására és migrálására.

Ez az oktató által vezetett, élő képzés Magyarország (online vagy helyszíni) rendszergazdáknak szól, akik az Okta-t szeretnék használni az azonosítás és hozzáférés-kezelés területén.

A képzés végére a résztvevők képesek lesznek:

• Az Okta konfigurálására, integrálására és kezelésére.
• Az Okta integrálására egy meglévő alkalmazásba.
• Biztonsági megoldások implementálására többtényezős hitelesítéssel.

Ez az oktató által vezetett, élő képzés Magyarország (online vagy helyszíni) középhaladó szintű rendszergazdáknak és IT szakembereknek szól, akik az OpenLDAP segítségével szeretnének LDAP-címtárakat telepíteni, konfigurálni, kezelni és biztosítani.

A képzés végére a résztvevők képesek lesznek:

• Megérteni az LDAP-címtárak szerkezetét és működését.
• Az OpenLDAP telepítése és konfigurálása különböző üzembe helyezési környezetekben.
• Hozzáférés-vezérlés, hitelesítés és replikációs mechanizmusok implementálása.
• Az OpenLDAP használata harmadik féltől származó szolgáltatásokkal és alkalmazásokkal.

Ez az oktató által vezetett, élő képzés Magyarország-ban (online vagy helyszíni) rendszergazdáknak szól, akik az OpenAM-et szeretnék használni webalkalmazások identitás- és hozzáférés-kezeléséhez.

A képzés végén a résztvevők képesek lesznek:

• Beállítani a szükséges szerverkörnyezetet a hitelesítés és hozzáférés-kezelés konfigurálásához az OpenAM segítségével.
• Egyszeri bejelentkezés (SSO), többtényezős hitelesítés (MFA) és felhasználói önkiszolgáló funkciók implementálása webalkalmazásokhoz.
• Federációs szolgáltatások (OAuth 2.0, OpenID, SAML v2.0 stb.) használata az identitáskezelés biztonságos kiterjesztésére különböző rendszerek vagy alkalmazások között.
• Hitelesítési, engedélyezési és identitáskezelési szolgáltatások elérése és kezelése REST API-kon keresztül.

Ez az oktató által vezetett, élő képzés Magyarország (online vagy helyszíni) rendszergazdáknak szól, akik az OpenDJ segítségével szeretnék kezelni szervezetük felhasználói hitelesítő adatait egy üzemi környezetben.

A képzés végére a résztvevők képesek lesznek:

• Az OpenDJ telepítésére és konfigurálására.
• Az OpenDJ szerver karbantartására, beleértve a monitorozást, hibaelhárítást és teljesítményoptimalizálást.
• Több OpenDJ adatbázis létrehozására és kezelésére.
• Az OpenDJ szerver biztonsági mentésére és migrálására.