NIS 2 Irányelv Alapozó Képzés

Ez az oktató által vezetett, élő képzés Magyarország (online vagy helyszíni) rendszergazdáknak szól, akik a 389 Directory Server használatával szeretnék konfigurálni és kezelni az LDAP-alapú hitelesítést és engedélyezést.

A képzés végére a résztvevők képesek lesznek:

• Telepíteni és konfigurálni a 389 Directory Server-t.
• Megérteni a 389 Directory Server funkcióit és architektúráját.
• Megtanulni, hogyan konfigurálható a címszerver a webkonzolon és a CLI-n keresztül.
• Beállítani és monitorozni a replikációt a magas rendelkezésre állás és terheléselosztás érdekében.
• Kezelni az LDAP hitelesítést SSSD segítségével a gyorsabb teljesítmény érdekében.
• Integrálni a 389 Directory Server-t a Microsoft Active Directory-val.

Ez az oktató által vezérelt, élőképzés Magyarország (online vagy helyszíni) azoknak a rendszergazdáknak szól, akik a Microsoft Active Directory használatával kívánnak adat-hozzáférést kezelni és biztonságossá tenni.

A képzés végén a résztvevők képesek lesznek:

• Active Directory telepítésére és konfigurálására.
• Domén létrehozására, valamint felhasználók és eszközök hozzáférési jogainak meghatározására.
• Felhasználók és gépek csoportpolitikákon keresztüli kezelésére.
• Fájlszerverek hozzáférésének felügyeletére.
• Tanúsítvány-szolgáltatás telepítésére és a tanúsítványok kezelésére.
• Titkosítási, tanúsítvány- és hitelesítési szolgáltatások megvalósítására és kezelésére.

A titkosított hálózatos alkalmazások implementálása kihívást jelentő feladat, még azoknak a fejlesztőknek is, akik korábban már használtak különféle kriptográfiai építőelemeket (például titkosítást és digitális aláírást). A résztvevők számára át kell látniuk ezeknek a kriptográfiai alapelveknek a szerepét és használatát, ezért először egy szilárd alapot teremtünk a biztonságos kommunikáció fő követelményeinek területén – titkosított igazolás, adatintegritás, titoktartás, távoli azonosítás és anonymitás – miközben bemutassuk azokat a tipikus problémákat, amelyek sérthetik ezeket a követelményeket, valamint a valós életben alkalmazott megoldásokat.

Mivel a hálózati biztonság kritikus aspektusa a kriptográfia, ebben a kurzusban áttekintjük a legfontosabb szimmetrikus kriptográfiai algoritmusokat, hashinget, aszimmetrikus kriptográfiát és kulcsmegállapodásokat. Nem egy mélyreható matematikai hátteret mutatunk be, hanem fejlesztői szempontról vesszük őket tárgyalásra, tipikus felhasználási eseteket és a kriptográfia gyakorlati alkalmazásával kapcsolatos szempontokat bemutató példákon keresztül, például a nyilvános kulcsú infrastruktúrákat (PKI). Több területen bemutatjuk a biztonságos kommunikáció biztonsági protokolljait is, különös figyelmet fordítva az IPSEC és SSL/TLS leggyakrabban használt protokollcsaládokra.

Az áttekintés keretében megvitatjuk a tipikus kriptográfiai sebezhetőségeket, amelyek mind bizonyos kriptográfiai algoritmusokkal, mind pedig protokollokkal kapcsolatosak. Ilyen például a BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE és hasonló sebezhetőségek, valamint az RSA időalapú támadás. Minden esetben bemutatjuk a gyakorlati szempontokat és a lehetséges következményeket, mély matematikai részletekbe menés nélkül.

Végül, mivel az XML technológia központi szerepet játszik a hálózatos alkalmazások adatcseréjében, megvizsgáljuk az XML biztonsági aspektusait. Ez magában foglalja az XML használatát webszolgáltatásokban és SOAP üzenetekben, valamint a védelmi intézkedéseket, mint például az XML aláírás és az XML titkosítás – valamint ezen védelmi intézkedések sebezhetőségeit és specifikus XML biztonsági problémákat, például az XML injektálást, az XML külső entitás (XXE) támadásokat, az XML bombákat és az XPath injektálást.

Az ezt a kurzust látogató résztvevők

• Értelmezik a biztonsággal, IT biztonsággal és biztonságos kódolással kapcsolatos alapvető fogalmakat
• Értelmezik a biztonságos kommunikáció követelményeit
• Tanulnak a különböző OSI rétegeken történő hálózati támadásokról és védekezésekről
• Gyakorlati megértésre tesznek szert a kriptográfia területén
• Értelmezik a legfontosabb biztonsági protokollokat
• Tájékozódnak egyes modern támadásokról, amelyek a kriptográfiai rendszerek ellen irányulnak
• Tájékozódnak egyes újszerű sebezhetőségekről
• Értelmezik a webszolgáltatások biztonsági koncepcióit
• Birtokba vesznek forrásanyagokat és további olvasmányokat a biztonságos kódolási gyakorlatokról

Célcsoport

Fejlesztők, szakemberek

A biztonságos C és C++ kódírás szigorú védelmet igényel a kártevő kihasználások, memóriasérülések és a bemeneti ellenőrzés megkerülésével szemben. Ez a program sebezhetőségi mintákat vizsgál, például puffer-átírásokat, free után használatot, egész túlcsordulásokat és típuskeverést. A résztvevők biztonságos kódolási irányelveket, statikus elemző eszközöket és védőprogramozási technikákat alkalmaznak a gyengeségek kiküszöbölésére, a bemeneti tisztítás érvényesítésére és az erősen keményített, támadásokkal szemben ellenálló szoftver biztosítására.

Még a tapasztalt Java fejlesztők sem ismerik minden esetben a Java által kínált különféle biztonsági szolgáltatásokat, és szintén nem tisztában a Java nyelven írt webalkalmazásokra vonatkozó különböző sebezhetőségekkel.

A kurzus – a Standard Java Edition biztonsági összetevőinek bemutatása mellett – foglalkozik a Java Enterprise Edition (JEE) és a webszolgáltatások biztonsági kérdéseivel. A specifikus szolgáltatások tárgyalása előtt a kriptográfia és a biztonságos kommunikáció alapjait ismertetjük. Különböző gyakorlatok keretében a JEE deklaratív és programozott biztonsági technikáival foglalkozunk, miközben a webszolgáltatások szállítási rétegbeli és végpontok közötti biztonságát is megvitatjuk. Az összes összetevő használatát számos gyakorlati feladaton keresztül mutatjuk be, ahol a résztvevők kipróbálhatják a tárgyalt API-kat és eszközöket.

A kurzus során bemutatjuk és magyarázatot adunk a Java nyelv és platform leggyakoribb és legsúlyosabb programozási hibáiról, valamint a webes sebezhetőségekről. A Java fejlesztők által elkövetett tipikus hibák mellett a bemutatott biztonsági rések magukban foglalják a nyelvspecifikus problémákat és a futási környezetből származó hibákat is. Minden sebezhetőséget és a hozzá kapcsolódó támadásokat könnyen érthető gyakorlatokon keresztül mutatjuk be, amelyeket az ajánlott kódolási irányelvek és a lehetséges enyhítő technikák követnek.

A kurzus résztvevői

• Megértik a biztonság, az informatikai biztonság és a biztonságos kódolás alapfogalmait
• Megismerik az OWASP Top Ten-en túli webes sebezhetőségeket és megtanulják, hogyan kerülhetik el őket
• Megértik a webszolgáltatások biztonsági koncepcióit
• Megtanulják használni a Java fejlesztői környezet különböző biztonsági funkcióit
• Gyakorlati ismereteket szereznek a kriptográfiáról
• Megértik a Java EE biztonsági megoldásait
• Megismerik a tipikus kódolási hibákat és megtanulják, hogyan kerülhetik el őket
• Tájékozódnak a Java keretrendszer legújabb sebezhetőségeiről
• Gyakorlati ismereteket szereznek a biztonsági tesztelési eszközök használatában
• Forrásanyagokat és további olvasmányokat kapnak a biztonságos kódolás gyakorlatáról

Célközönség

Fejlesztők

Számos programozási nyelv áll ma rendelkezésre a .NET és ASP.NET keretrendszerekhez történő kódfordításhoz. A környezet hatékony eszközöket biztosít a biztonsági fejlesztéshez, de a fejlesztőknek tudniuk kell, hogyan alkalmazzák az architektúra- és kódolási szintű programozási technikákat annak érdekében, hogy megvalósítsák a kívánt biztonsági funkcionalitást, és elkerüljék a sebezhetőségeket vagy korlátozzák azok kihasználását.

A kurzus célja, hogy a fejlesztők számos gyakorlati feladaton keresztül megtanulják, hogyan akadályozzák meg a nem megbízható kódot a privilegizált műveletek végrehajtásában, hogyan védjék az erőforrásokat erős hitelesítéssel és engedélyezéssel, hogyan biztosítsanak távoli eljáráshívásokat, kezeljék a munkameneteket, bemutassanak különböző megvalósításokat bizonyos funkcionalitásokhoz, és még sok mást.

A különböző sebezhetőségek bemutatása a .NET használata során elkövetett tipikus programozási hibák bemutatásával kezdődik, míg az ASP.NET sebezhetőségeinek tárgyalása során különböző környezeti beállítások és azok hatásai is szóba kerülnek. Végül, az ASP.NET-specifikus sebezhetőségek témaköre nem csak általános webalkalmazás-biztonsági kihívásokkal foglalkozik, hanem speciális problémákkal és támadási módszerekkel is, mint például a ViewState támadása vagy a karakterlánc-lezárási támadások.

A kurzus résztvevői

• Megismerik a biztonság, az IT biztonság és a biztonságos kódolás alapvető fogalmait
• Megismerik az OWASP Top Tenon túlmutató webes sebezhetőségeket, és megtanulják, hogyan kerüljék el azokat
• Megtanulják használni a .NET fejlesztői környezet különböző biztonsági funkcióit
• Gyakorlati ismereteket szereznek a biztonsági tesztelési eszközök használatában
• Megismerik a tipikus kódolási hibákat és megtanulják, hogyan kerüljék el azokat
• Információhoz jutnak a .NET és ASP.NET legújabb sebezhetőségeiről
• Forrásokat és további olvasmányokat kapnak a biztonságos kódolási gyakorlatokról

Célközönség

Fejlesztők

A tanfolyam elengedhetetlen készségeket biztosít a PHP-fejlesztők számára, amelyekkel alkalmazásaikat ellenállóvá tehetik a mai internetes támadásokkal szemben. A websebezhetőségeket PHP-alapú példákon keresztül mutatjuk be, az OWASP tizen legfelső kategóriáját meghaladóan, különös tekintettel a különböző injektálási támadásokra, szkriptinjekciókra, a PHP munkamenetkezelésének kizsákmányolására, a biztonságos közvetlen objektumreferenciák hiányára, fájlfeltöltési problémákra és még sok másra. A PHP-hoz kapcsolódó sebezhetőségeket standard sebezhetőség-típusokba csoportosítva mutatjuk be: hiányzó vagy helytelen bemeneti ellenőrzés, hibás hiba- és kivételkezelés, a biztonsági funkciók helytelen használata, valamint időbeli és állapot-alapú problémák. Utóbbiak között megvizsgáljuk például az open_basedir kijátszását, a szolgáltatásmegtagadás (DoS) támadásait a varázslatos lebegőpontos számok vagy a hash-tábla-ütközések révén. Minden esetben a résztvevők elsajátítják a felsorolt kockázatok enyhítésére használt legfontosabb technikákat és funkciókat.

Kiemelt figyelmet szentelünk az ügyféloldali biztonságnak, különös tekintettel a JavaScript, az Ajax és az HTML5 biztonsági kérdéseire. Bemutatunk számos PHP-hoz kapcsolódó kiterjesztést a kriptográfia (hash, mcrypt, OpenSSL) és a bemeneti ellenőrzés (Ctype, ext/filter, HTML Purifier) területéről. A PHP-konfiguráció (php.ini beállításai), az Apache szerver valamint a szerver általános biztonsága szempontjából legfontosabb hardening-elveket isismertetünk. Végül áttekintést adunk a fejlesztők és tesztelők által használható különböző biztonsági tesztelő eszközökről és technikákról, beleértve a biztonsági szkennereket, penetrációs tesztek végrehajtásához használt exploit csomagokat, snifereket (követőprogramok), proxy szervereket, fuzzer eszközöket és statikus forráskód-elemzőket.

A sebezhetőségek bemutathatását és a konfigurációs gyakorlatokat számos gyakorlati feladat egészíti ki, amelyek demonstrálják egy sikeres támadás következményeit, megmutatják az enyhítési technikák alkalmazását, és bevezetik a résztvevőket a különböző kiterjesztések és eszközök használatába.

A tanfolyamon való részvétel után a résztvevők

• megértik a biztonsággal, az IT-biztonsággal és a biztonságos kódolással kapcsolatos alapfogalmakat.
• megismerkednek az OWASP Top Ten lista határain kívüli websebezhetőségekkel, és megtanulják elkerülni őket.
• megismerkednek az ügyféloldali sebezhetőségekkel és a biztonságos kódolási gyakorlatokkal.
• gyakorlati betekintést nyernek a kriptográfia világába.
• tanulják a PHP számos biztonsági funkciójának használatát.
• tanulják meg, milyen tipikus kódolási hibák vannak, és hogyan kerülhetik el őket.
• tájékoztatást kapnak a PHP keretrendszer legújabb sebezhetőségeiről.
• gyakorlati tudást szereznek a biztonsági tesztelő eszközök használatában.
• forrásokat és további olvasnivalókat kapnak a biztonságos kódolási gyakorlatokról.

Célközönség

Fejlesztők

A Kombinált SDL alapképzés betekintést nyújt a biztonságos szoftvertervezésbe, fejlesztésbe és tesztelésbe a Microsoft Secure Development Lifecycle (SDL) keretében. A képzés szintje 100, amely áttekintést ad az SDL alapvető építőelemeiről, majd tervezési technikákat mutat be a hibák felismerésére és javítására a fejlesztési folyamat korai szakaszaiban.

A fejlesztési fázissal foglalkozva a kurzus áttekintést nyújt mind a managed, mind a natív kód tipikus biztonsági hibáiról. A tárgyalt sebezhetőségekhez kapcsolódó támadási módszereket és azok enyhítési technikáit mutatjuk be, mindezt számos gyakorlati feladaton keresztül, amelyek élvezetes hackelési élményt nyújtanak a résztvevőknek. A különböző biztonsági tesztelési módszerek bemutatása után bemutatjuk a különböző tesztelési eszközök hatékonyságát. A résztvevők gyakorlati feladatok során megismerhetik ezeknek az eszközöknek a működését, amikor azokat a már tárgyalt sebezhető kódra alkalmazzák.

A kurzus résztvevői a következőket fogják megtanulni:

Megismerik a biztonság, az IT biztonság és a biztonságos kódolás alapvető fogalmait

Megismerkednek a Microsoft Secure Development Lifecycle alapvető lépéseivel

Megtanulják a biztonságos tervezési és fejlesztési gyakorlatokat

Megismerik a biztonságos implementáció elveit

Megértik a biztonsági tesztelési módszertant

• Forrásokat és további olvasmányokat kapnak a biztonságos kódolási gyakorlatokról

Célközönség

Fejlesztők, Menedzserek

Ebben az oktató által vezetett, élő képzésen Magyarország, a résztvevők megtanulják, hogyan alakítsák ki a megfelelő biztonsági stratégiát a DevOps biztonsági kihívások kezelésére.

Az EC-Council Certified DevSecOps Engineer (ECDE) egy gyakorlati képzés, amely célja, hogy szakembereket oktasson a biztonság beágyazásáról a DevOps életciklusba, lehetővé téve a biztonságos szoftverfejlesztést a tervezéstől a telepítésig.

Ez az oktató által vezetett, élő képzés (online vagy helyszíni) középszintű szoftver- és DevOps szakembereknek szól, akik szeretnék integrálni a biztonsági gyakorlatokat a CI/CD folyamatokba, biztosítva ezzel a biztonságos és szabályozásoknak megfelelő kód szállítását.

A képzés végén a résztvevők képesek lesznek:

• Megérteni a DevSecOps alapelveit és gyakorlatait.
• Biztonságossá tenni a CI/CD folyamat minden szakaszát automatizált eszközök segítségével.
• Biztonságos kódolási gyakorlatok és sebezhetőségi vizsgálatok implementálása.
• Felkészülni az ECDE minősítésre gyakorlati laborokkal és áttekintéssel.

A képzés formátuma

• Interaktív előadás és vita.
• Gyakorlati használat a DevSecOps eszközökből szimulált folyamatokban.
• Irányított gyakorlatok a biztonságos fejlesztésre és telepítésre összpontosítva.

Képzés testreszabási lehetőségei

• Ha testreszabott képzést szeretne kérni a csapat munkafolyamatai vagy eszközlánca alapján, kérjük, lépjen kapcsolatba velünk a megbeszélés érdekében.

Ez az oktató által vezetett, élő képzés Magyarország (online vagy helyszíni) rendszergazdáknak szól, akik szeretnék a FreeIPA segítségével központosítani a szervezetük felhasználóinak, csoportjainak és gépeinek hitelesítését, engedélyezését és fiókinformációit.

A képzés végére a résztvevők képesek lesznek:

• A FreeIPA telepítésére és konfigurálására.
• Linux felhasználók és kliensek kezelésére egyetlen központi helyről.
• A FreeIPA CLI, Web UI és RPC interfészének használatára engedélyek beállításához és kezeléséhez.
• Single Sign On hitelesítés engedélyezésére az összes rendszer, szolgáltatás és alkalmazás számára.
• A FreeIPA integrálására a Windows Active Directory-val.
• FreeIPA szerver biztonsági mentésére, replikálására és migrálására.

Ez az oktató által vezetett, élő képzés Magyarország (online vagy helyszíni) rendszergazdáknak szól, akik az Okta-t szeretnék használni az azonosítás és hozzáférés-kezelés területén.

A képzés végére a résztvevők képesek lesznek:

• Az Okta konfigurálására, integrálására és kezelésére.
• Az Okta integrálására egy meglévő alkalmazásba.
• Biztonsági megoldások implementálására többtényezős hitelesítéssel.

Az OpenLDAP egy nyílt forráskódú szoftver, amely az LDAP (Lightweight Directory Access Protocol) protokoll implementálására szolgál, lehetővé téve az információs könyvtárak kezelését és hozzáférését. Ez egy népszerű könyvtárszerver, amely felhasználható felhasználók, csoportok, hálózati erőforrások és egyéb hálózati objektumok adatainak tárolására és megosztására.