SZKOLENIA DLA FIRM

BEZPIECZEŃSTWO APLIKACJI WWW

Czas trwania szkolenia - 8 dni

​

Cyfryzacja pozwoliła nam na przeniesienie wielu aspektów naszego życia do Internetu, jednakże przyniosła ze sobą szereg nowych zagrożeń. Jeden mały błąd programisty może narazić użytkowników na szkodę, a firmie wygenerować wielomilionowe straty. Podczas naszego szkolenia uczestnicy w przystępny sposób zapoznają się z procesami niewidocznymi dla ludzkiego oka, które dzieją się, kiedy na przykład zlecamy przelew, logujemy się do urzędu, czy też szukamy przepisu na forum oraz związane z nimi zagrożenia. Dodatkowo praktyczne ćwiczenia, przygotowane przez naszych specjalistów, pozwolą na dogłębne utrwalenie przyswojonej wiedzy.

Zakres szkolenia obejmuje:

•  Podstawy protokołu HTTP

•  Enumeracja i rekonesans aplikacji webowych

•  Uwierzytelnianie, autoryzacja i zarządzanie sesją

•  HTML Injection i Cross-Site Scripting (XSS)

•  Cross-Site Request Forgery (CSRF)

•  Path Traversal i Local/Remote File Inclusion 

•  SQL Injection i NoSQL Injection

•  Command Injection (Command Injection) 

•  Server-side Includes i Server-Side Template Injection (SSTI)

•  Podatności związane z formatem XML (XXE)

•  Server-Side Request Forgery (SSRF)

•  Podatności związane z mechanizmem wgrywania plików (FIle Upload)

BEZPIECZEŃSTWO APLIKACJI MOBILNYCH

Czas trwania szkolenia - 5 dni

​

W dzisiejszych czasach coraz większa część życia użytkowników koncentruje się w urządzeniu mobilnym - Telefonie. Nasze szkolenie bierze ten, jakże znaczący aspekt pod lupę. W trakcie zajęć uczestnicy zapoznają się z dwoma najpopularniejszymi platformami (Android oraz iOS) od środka. Poruszymy też zagadnienia dotyczące nie tylko błędów, jakie popełniają programiści w swoim aplikacjach, ale również, jak struktura funkcjonowania mobilnych systemów operacyjnych pozwala na zaatakowanie użytkownika bez konieczności bezpośredniej interakcji z ich aplikacją bankową, sms'ową etc.

Zakres szkolenia obejmuje :

 1. Wprowadzenie:

• Ogólne przedstawienie konceptu aplikacji mobilnych (Podział na aplikację natywną / hybrydową / webową)

• Przegląd najpopularniejszych platform (Android / iOS)

• Podstawowe problemy związane z aplikacjami mobilnymi

• Dostępne narzędzia wykorzystywane w procesach weryfikacji bezpieczeństwa aplikacji

2. Android:

• Omówienie ekosystemu Android

• Przygotowanie urządzenia testowego - Android

• Czym jest APK, jak jest zbudowane?

• Dalvik, ART, JVM - ile tak naprawdę jest Javy w tej Javie

• Bezpieczeństwo Androida:

• Budowa aplikacji

• Komunikacja IPC i Deeplinks

• Bezpieczne przechowywanie danych

• Aplikacje Android - Threat Model

3. iOS:

• Omówienie ekosystemu Apple

• Przygotowanie urządzenia testowego - iOS

• Czym jest IPA, jak jest zbudowana?

• Wstęp do O ObjC i Swiftcie

• Bezpieczeństwo iOS (Uprawnienia, Pamięć i ochrona danych, 3rd-party Keyboards, Code Signing, Secure Enclave Processor)

• Komunikacja IPC i Universal Links

• App Extensions

• iOS Keychain

• Aplikacje iOS - Threat Model

4. Perspektywa atakującego:

• Statyczna analiza aplikacji

• Dynamiczna analiza aplikacji

• Jak wykorzystywane są znalezione błędy:

       - Modyfikacja istniejącej aplikacji

       - Interakcja ze strony szkodliwego oprogramowania                       

BEZPIECZEŃSTWO SIECI I INFRASTRUKTURY 

Czas trwania szkolenia - 5 dni

​

Wiele firm implementuje zapory ogniowe, wydziela sieci DMZ czy też wprowadza wiele innych metod separacji sieciowej. A co jeśli atakujący już znalazł się w naszej sieci? Jak silna by ściana nie była, nie ochroni nas przed zagrożeniami z wewnątrz. Podczas szkolenia uczestnicy poznają metody wykorzystywane przez atakujących, którzy już znajdują się w naszej sieci. W trakcie szkolenia możliwe będzie zapoznanie się z metodami omijania autoryzacji urządzeń, "skakania" między sieciami, podszywania się pod istniejące urządzenia, a finalnie znalezienie intratnego celu i przejęcie nad nim pełnej kontroli.

Zakres szkolenia obejmuje:

• Ataki ARP Spoofing

• Atakowanie protokołu DHCP, Spoofing

• Bezpieczeństwo protokołu ICMP, ataki ICMP Redirect

• Techniki omijania NAC, MAC Filtering

• Bezpieczeństwo przełączników, ataki VLAN Hopping

• Bezpieczeństwo IPv6

• Ataki typu Replay Attack na przykładzie SMB

• Atakowanie sieci WiFi

• Skanowanie sieci w poszukiwaniu hostów

• Enumeracja maszyn, skanowanie w poszukiwaniu usług

• Eksploatacja znalezionych podatności

• Eskalacja uprawnień w systemach Windows i Linux