Curso de Segurança de Aplicações para Desenvolvedores

Implementar uma aplicação de rede segura pode ser desafiador, mesmo para desenvolvedores que já tenham utilizado diversos blocos de construção criptográficos (como criptografia e assinaturas digitais) anteriormente. Para ajudar os participantes a compreender o papel e o uso desses primitivos criptográficos, é primeiramente fornecida uma base sólida sobre os principais requisitos da comunicação segura – confirmação segura, integridade, confidencialidade, identificação remota e anonimato –, apresentando também os problemas típicos que podem comprometer esses requisitos, juntamente com soluções práticas.

Como a criptografia é um aspecto crítico da segurança de rede, os algoritmos criptográficos mais importantes em criptografia simétrica, hash, criptografia assimétrica e acordo de chaves também são abordados. Em vez de apresentar uma base matemática aprofundada, esses elementos são discutidos do ponto de vista de um desenvolvedor, mostrando exemplos típicos de casos de uso e considerações práticas relacionadas ao uso de criptografia, como infraestruturas de chave pública (PKI). Protocolos de segurança em diversas áreas da comunicação segura são introduzidos, com uma discussão detalhada sobre as famílias de protocolos mais utilizadas, como IPSEC e SSL/TLS.

Vulnerabilidades criptográficas típicas são discutidas tanto em relação a certos algoritmos criptográficos quanto a protocolos criptográficos, como BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE e similares, bem como o ataque de tempo no RSA. Em cada caso, as considerações práticas e as consequências potenciais são descritas para cada problema, sem entrar em detalhes matemáticos profundos.

Por fim, dado que a tecnologia XML é central para a troca de dados por aplicações de rede, os aspectos de segurança do XML são descritos. Isso inclui o uso de XML dentro de web services e mensagens SOAP, junto com medidas de proteção como assinatura XML e criptografia XML –, bem como fragilidades nessas medidas de proteção e questões específicas de segurança do XML, como injeção de XML, ataques de entidade externa externa de XML (XXE), bombas XML e injeção XPath.

Os participantes que cursarem este treinamento terão

• Compreender os conceitos básicos de segurança, segurança da informação e codificação segura
• Compreender os requisitos da comunicação segura
• Aprender sobre ataques e defesas em redes nas diferentes camadas do modelo OSI
• Ter uma compreensão prática da criptografia
• Compreender protocolos de segurança essenciais
• Conhecer alguns ataques recentes contra sistemas criptográficos
• Obter informações sobre algumas vulnerabilidades recentes relacionadas
• Compreender os conceitos de segurança dos web services
• Receber fontes e leituras complementares sobre práticas de codificação segura

Público-alvo

Desenvolvedores, Profissionais

Escrever código C e C++ seguro exige uma defesa rigorosa contra exploração maliciosa, corrupção de memória e contornes à validação de entrada. Este programa analisa padrões de vulnerabilidade, incluindo transbordamento de buffer, uso após libertação (use-after-free), transbordamento inteiro e confusão de tipos. Os participantes aplicam diretrizes de codificação segura, ferramentas de análise estática e técnicas de programação defensiva para eliminar fragilidades, impor a limpeza de entrada e entregar software endurecido, resiliente a ataques cibernéticos.

Até mesmo programadores experientes em Java não dominam, por meio de qualquer processo definitivo, os diversos serviços de segurança oferecidos pela plataforma e tampouco estão cientes das diferentes vulnerabilidades relevantes para aplicações web escritas em Java.

O curso – além de apresentar os componentes de segurança da Standard Java Edition – aborda questões de segurança da Java Enterprise Edition (JEE) e de serviços web. A discussão sobre serviços específicos é precedida pelos fundamentos da criptografia e da comunicação segura. Diversos exercícios tratam de técnicas declarativas e programáticas de segurança na JEE, enquanto são discutidos tanto a segurança em camada de transporte quanto a segurança de ponta a ponta nos serviços web. O uso de todos os componentes é apresentado por meio de vários exercícios práticos, nos quais os participantes podem testar pelas próprias mãos as APIs e ferramentas discutidas.

O curso também revisa e explica as falhas de programação mais frequentes e graves da linguagem e plataforma Java, bem como vulnerabilidades relacionadas à web. Além dos bugs típicos cometidos por programadores Java, as vulnerabilidades de segurança introduzidas abrangem tanto questões específicas da linguagem quanto problemas originados do ambiente de tempo de execução. Todas as vulnerabilidades e os ataques pertinentes são demonstrados por meio de exercícios de fácil compreensão, seguidos pelas diretrizes recomendadas de codificação e pelas possíveis técnicas de mitigação.

Os participantes que assistirem a este curso poderão

• Compreender os conceitos básicos de segurança, segurança de TI e codificação segura
• Aprender sobre vulnerabilidades web além do OWASP Top Ten e saber como evitá-las
• Entender os conceitos de segurança de serviços web
• Aprender a usar vários recursos de segurança do ambiente de desenvolvimento em Java
• Tener uma compreensão prática da criptografia
• Compreender as soluções de segurança do Java EE
• Aprender sobre erros comuns de codificação e como evitá-los
• Obter informações sobre algumas vulnerabilidades recentes no framework Java
• Adquirir conhecimento prático no uso de ferramentas de teste de segurança
• Obter fontes e leituras adicionais sobre práticas de codificação segura

Público-alvo

Desenvolvedores

Várias linguagens de programação estão disponíveis hoje para compilar código para os frameworks .NET e ASP.NET. O ambiente oferece meios poderosos para o desenvolvimento seguro, mas os desenvolvedores devem saber como aplicar técnicas de programação em nível de arquitetura e de código para implementar a funcionalidade de segurança desejada, evitar vulnerabilidades ou limitar sua exploração.

O objetivo deste curso é ensinar os desenvolvedores, por meio de numerosos exercícios práticos, a impedir que códigos não confiáveis executem ações privilegiadas, proteger recursos por meio de autenticação e autorização robustas, fornecer chamadas de procedimento remoto, gerenciar sessões, introduzir diferentes implementações para certas funcionalidades, entre muitos outros temas.

A introdução às diferentes vulnerabilidades começa apresentando alguns problemas de programação típicos cometidos ao utilizar o .NET. Já a discussão sobre as vulnerabilidades do ASP.NET aborda também as diversas configurações do ambiente e seus efeitos. Por fim, o tema das vulnerabilidades específicas do ASP.NET não lida apenas com desafios gerais de segurança de aplicações web, mas também com questões especiais e métodos de ataque como a manipulação do ViewState ou os ataques de terminação de strings.

Os participantes deste curso serão capazes de

• Compreender os conceitos básicos de segurança, segurança da informação e codificação segura
• Aprender sobre vulnerabilidades web além do OWASP Top Ten e saber como evitá-las
• Aprender a utilizar vários recursos de segurança do ambiente de desenvolvimento .NET
• Adquirir conhecimento prático no uso de ferramentas de teste de segurança
• Conhecer erros comuns de codificação e como evitá-los
• Tomar ciência de algumas vulnerabilidades recentes no .NET e ASP.NET
• Obter fontes e leituras complementares sobre práticas de codificação segura

Público-alvo

Desenvolvedores

O curso oferece habilidades essenciais para desenvolvedores PHP, necessárias para tornar suas aplicações resistentes a ataques contemporâneos pela Internet. Vulnerabilidades web são discutidas por meio de exemplos baseados em PHP, indo além do OWASP Top Ten, abordando diversos tipos de ataques de injeção, injunções de script, ataques contra o tratamento de sessões no PHP, referências diretas inseguras a objetos, problemas com upload de arquivos e muitos outros. As vulnerabilidades relacionadas ao PHP são introduzidas agrupadas nos tipos padrão de vulnerabilidades: validação de entrada ausente ou inadequada, tratamento incorreto de erros e exceções, uso inadequado de recursos de segurança e problemas relacionados ao tempo e estado. Para estes últimos, discutimos ataques como a burla do open_basedir, negação de serviço através de float mágico ou o ataque de colisão em tabela hash. Em todos os casos, os participantes ficarão familiarizados com as técnicas e funções mais importantes para mitigar os riscos listados.

Um foco especial é dado à segurança no lado do cliente, abordando questões de segurança de JavaScript, Ajax e HTML5. Várias extensões relacionadas à segurança para PHP são apresentadas, como hash, mcrypt e OpenSSL para criptografia, ou Ctype, ext/filter e HTML Purifier para validação de entrada. As melhores práticas de endurecimento (hardening) são fornecidas em conexão com a configuração do PHP (configuração do php.ini), Apache e o servidor em geral. Por fim, é dado um panorama sobre várias ferramentas e técnicas de teste de segurança que desenvolvedores e testadores podem usar, incluindo scanners de segurança, testes de penetração, pacotes de exploit, sniffer, servidores proxy, ferramentas de fuzzing e analisadores estáticos de código-fonte.

Tanto a introdução de vulnerabilidades quanto as práticas de configuração são apoiadas por uma série de exercícios práticos que demonstram as consequências de ataques bem-sucedidos, mostram como aplicar técnicas de mitigação e introduzem o uso de várias extensões e ferramentas.

Os participantes que assistirem a este curso serão capazes de

• Compreender os conceitos básicos de segurança, segurança de TI e programação segura
• Aprender vulnerabilidades web além do OWASP Top Ten e saber como evitá-las
• Aprender sobre vulnerabilidades no lado do cliente e práticas de programação segura
• Tener uma compreensão prática de criptografia
• Aprender a usar diversos recursos de segurança do PHP
• Aprender sobre erros típicos de codificação e como evitá-los
• Ser informado sobre vulnerabilidades recentes do framework PHP
• Obter conhecimento prático no uso de ferramentas de teste de segurança
• Receber fontes e leituras complementares sobre práticas de programação segura

Público-alvo

Desenvolvedores

A formação integrada do núcleo do SDL oferece uma visão sobre o design, o desenvolvimento e os testes de software seguro por meio do Ciclo de Desenvolvimento de Software Seguro (SDL) da Microsoft. Ela fornece uma visão geral introdutória (nível 100) dos blocos de construção fundamentais do SDL, seguida pelas técnicas de design aplicáveis para detectar e corrigir falhas nas etapas iniciais do processo de desenvolvimento.

Abordando a fase de desenvolvimento, o curso apresenta uma visão geral dos bugs de programação típicos relevantes para a segurança, tanto em código gerenciado quanto nativo. Os métodos de ataque são apresentados para as vulnerabilidades discutidas, juntamente com as técnicas de mitigação associadas, tudo explicado por meio de uma série de exercícios práticos que proporcionam experiência prática de hacking aos participantes. A introdução dos diferentes métodos de teste de segurança é seguida pela demonstração da eficácia de várias ferramentas de teste. Os participantes podem entender o funcionamento dessas ferramentas por meio de exercícios práticos, aplicando as ferramentas ao código vulnerável já discutido.

Os participantes que cursarem esta formação

Compreenderão os conceitos básicos de segurança, segurança de TI e programação segura

Conhecerão as etapas essenciais do Ciclo de Desenvolvimento de Software Seguro (SDL) da Microsoft

Aprenderão práticas de design e desenvolvimento seguros

Aprenderão sobre os princípios de implementação segura

Compreenderão a metodologia de teste de segurança

• Obter fontes e leituras complementares sobre práticas de codificação segura

Público-alvo

Desenvolvedores, Gerentes

Neste curso presencial com instrutor em Brasil, os participantes aprenderão como formular a estratégia de segurança adequada para enfrentar os desafios da segurança no ambiente DevOps.

O Engenheiro Certificado ECDE de DevSecOps do EC-Council (ECDE) é um curso prático projetado para capacitar profissionais com as competências necessárias para integrar a segurança em todo o ciclo de vida do DevOps, permitindo o desenvolvimento de software seguro desde o planejamento até a implementação.

Este treinamento ao vivo e ministrado por instrutor (online ou presencial) destina-se a profissionais de software e DevOps de nível intermediário que desejam incorporar práticas de segurança nos pipelines CI/CD, garantindo a entrega de código seguro e em conformidade.

Ao final deste treinamento, os participantes serão capazes de:

• Compreender os princípios e práticas do DevSecOps.
• Garantir a segurança de todas as etapas do pipeline CI/CD utilizando ferramentas automatizadas.
• Implementar práticas de codificação segura e varredura de vulnerabilidades.
• Preparar-se para a certificação ECDE por meio de laboratórios práticos e revisão.

Formato do Curso

• Aula interativa e discussão.
• Uso prático das ferramentas DevSecOps em pipelines simulados.
• Exercícios orientados focados no desenvolvimento e na implementação seguros.

Opções de Personalização do Curso

• Para solicitar um treinamento personalizado para este curso com base nos fluxos de trabalho ou na cadeia de ferramentas da sua equipe, entre em contato conosco para organizar a agenda.

Este curso em Brasil tem como objetivo ajudar no seguinte:

1. Ajudar os desenvolvedores a dominar as técnicas de escrita de código seguro
2. Ajudar os testadores de software a verificar a segurança do aplicativo antes de publicá-lo em ambiente de produção
3. Ajudar os arquitetos de software a entender os riscos envolvidos nos aplicativos
4. Ajudar líderes de equipe a estabelecer as linhas-base de segurança para os desenvolvedores
5. Ajudar webmasters a configurar os servidores para evitar incorreções na configuração

Este curso abrange os conceitos e princípios de codificação segura com Java por meio da metodologia de teste do Open Web Application Security Project (OWASP). O Projeto de Segurança de Aplicações Web Aberto é uma comunidade online que cria artigos, metodologias, documentação, ferramentas e tecnologias de acesso livre na área de segurança de aplicações web.

Este curso aborda os conceitos e princípios de codificação segura com ASP.NET por meio da metodologia de testes do Open Web Application Security Project (OWASP). O OWASP é uma comunidade online que cria artigos, metodologias, documentações, ferramentas e tecnologias de código aberto na área de segurança de aplicações web.

Este curso explora os recursos de segurança do .NET Framework e como proteger aplicações web.