Corso di formazione sicurezza delle applicazioni web con focus Java – Spring Edition

Il corso è destinato a developers, team leader tecnici e funzionali, e architetti senior IT con competenze mature ed esperienze già consolidate.

DESCRIZIONE DEL CORSO
Il corso consente di sviluppare competenze teoriche e pratiche avanzate per lo sviluppo di applicazioni web sicure indipendentemente dal linguaggio di programmazione utilizzato, avendo come riferimento le best practice di OWASP.

La trattazione teorica verrà corredata con esempi e laboratori pratici in linguaggio Java e l’utilizzo del framework Spring.

OBIETTIVO DEL CORSO
L’obiettivo è quello di uniformare le competenze in ambito di sicurezza web applicativa su tutti i membri del team, nonché far comprendere agli sviluppatori qual è il punto di vista di un attaccante.

DESTINATARI
Il corso è destinato a sviluppatori Java che vogliono approfondire le best practice di sicurezza applicativa.

NATURA DEL CORSO
La metodologia prevede l’alternarsi di lezioni teoriche e molteplici esercitazioni pratiche tramite un laboratorio presente su cloud e l’utilizzo di piattaforme per esercizi pubbliche.

PREREQUISITI
– Conoscenze obbligatorie: o Competenza consolidata nello sviluppo di applicazioni web e di integrazione su tecnologia J2EE o Competenze mature, benchè non sistematizzate, in ambito java security
– Esperienza raccomandata: esperienza medio-alta nell’applicazione sul campo delle competenze di cui al punto precedente

Scopri gli altri corsi sulla Sicurezza Informatica!

 

Vuoi approfondire i temi trattati in questo corso?

Corso Sicurezza delle applicazioni web con focus Java
Ingegnere IT

La durata del corso è di 5 giorni.

 

Questo corso viene erogato solo in modalità dedicata: per questa tipologia, la quotazione è a giornata (su richiesta) e gli argomenti possono essere personalizzati in base alle proprie necessità formative.

 

AGENDA
    • GIORNO 1

      Introduzione alla scrittura di codice sicuro:

      • Robustezza, Performance e Sicurezza del Software
      • Cause principali delle vulnerabilità
      • Metodologia OWASP per Secure Coding e Code Review
      • Metodologia OWASP per PenTest di Applicazioni Web

      Secure SDLC (Software Development Life Cycle):

      • Costi dei bug di sicurezza
      • Concetti di rischio e impatto
      • Discussione riguardo ogni fase del Secure SDLC

      Argomenti aggiuntivi:

      • Black Box Testing vs Code Review
      • Principi di sicurezza del codice
      • Introduzione a BurpSuite
      • Bug bounties
      • Vulnerabilità e attacchi:Information Gathering:
        • Fingerprinting dell’applicazione
        • Improper Error Handling

      GIORNO 2

      Injection:

      • SQL Injection
      • LDAP Injection
      • XPath Injection
      • XML Injection
      • Command Injection
      • Path Traversal
      • Log Forging
      • HTTP Splitting

      GIORNO 3

      Autenticazione:

      • User enumeration
      • Authentication Bypass
      • Credenziali di default
      • Funzionalità di cambio o reset password

      Autorizzazione:

      • Authorization Bypass
      • Parameter Manipulation
      • Access Matrix

      Argomenti aggiuntivi:

      • Bypass della logica applicativa
      • JWT

      GIORNO 4

      Sensitive Data Exposure On Transit:

      • SSL / TLS
      • Suite di cifratura deboli
      • Padding Oracle

      Sensitive Data Exposure At Rest:

      • Crittografia Simmetrica e Asimmetrica
      • Hashing
      • Salt

      Sicurezza delle REST API Data Validation:

      • Cross-Site Scripting
      • Whitelisting vs Blacklisting
      • Output Encoding

      Argomenti aggiuntivi:

      • Open redirect
      • Arbitrary file upload
      • Componenti vulnerabili
      • XXE:
        • In band
        • Out of band

      GIORNO 5

      Gestione della sessione:

      • CSRF
      • Randomicità ID di sessione
      • Session Fixation

      Argomenti aggiuntivi:

      • CORS Security
      • SSRF
      • CSP

      Altre vulnerabilità:

      • Clickjacking
      • Denial of Service
      • Software and data integrity failures
      • Spring Boot & Spring Security
      • Spring Security vs .NET Security