Curso de Desenvolvedor Seguro .NET (Inclui OWASP)

Implementar um aplicativo de rede seguro pode ser difícil, mesmo para desenvolvedores que já utilizaram diversos blocos de construção criptográficos (como criptografia e assinaturas digitais). Para facilitar a compreensão dos participantes sobre o papel e o uso desses primitivos criptográficos, inicialmente é apresentada uma base sólida sobre os principais requisitos da comunicação segura – confirmação segura, integridade, confidencialidade, identificação remota e anonimato – juntamente com a apresentação dos problemas típicos que podem comprometer esses requisitos e suas soluções no mundo real.

Como a criptografia é um aspecto crítico da segurança de rede, os algoritmos criptográficos mais importantes em criptografia simétrica, hash, criptografia assimétrica e acordo de chaves também são discutidos. Em vez de apresentar um aprofundamento no contexto matemático, esses elementos são abordados sob a perspectiva do desenvolvedor, mostrando exemplos típicos de casos de uso e considerações práticas relacionadas ao uso de criptografia, como as infraestruturas de chave pública (PKI). Protocolos de segurança em diversas áreas da comunicação segura são introduzidos, com uma discussão detalhada sobre as famílias de protocolos mais amplamente utilizadas, como IPSEC e SSL/TLS.

As vulnerabilidades criptográficas típicas são discutidas tanto em relação a determinados algoritmos quanto a protocolos criptográficos, como BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE e outros similares, bem como o ataque de tempo do RSA. Em cada caso, as considerações práticas e as consequências potenciais são descritas para cada problema, novamente, sem entrar em detalhes matemáticos profundos.

Finalmente, como a tecnologia XML é central para a troca de dados por aplicativos de rede, os aspectos de segurança do XML são descritos. Isso inclui o uso de XML dentro de serviços web e mensagens SOAP, juntamente com medidas de proteção, como assinatura XML (XML Signature) e criptografia XML (XML Encryption) – bem como as fraquezas nessas medidas de proteção e questões de segurança específicas do XML, como injeção XML, ataques de entidade externa XML (XXE), bombas XML e injeção XPath.

Os participantes que cursarem este curso

• Compreenderão os conceitos básicos de segurança, segurança de TI e codificação segura
• Compreenderão os requisitos da comunicação segura
• Aprenderão sobre ataques e defesas de rede em diferentes camadas do modelo OSI
• Terão uma compreensão prática da criptografia
• Compreenderão os protocolos de segurança essenciais
• Conhecerão alguns ataques recentes contra sistemas criptográficos
• Receberão informações sobre algumas vulnerabilidades recentes relacionadas
• Compreenderão os conceitos de segurança de serviços web
• Terão acesso a fontes e leituras complementares sobre práticas de codificação segura

Público-alvo

Desenvolvedores, Profissionais

Escrever código seguro em C e C++ exige uma defesa rigorosa contra exploração maliciosa, corrupção de memória e burlas na validação de entrada. Este programa examina padrões de vulnerabilidade, incluindo transbordamento de buffer, uso após liberação (use-after-free), transbordamento inteiro e confusão de tipos. Os participantes aplicam diretrizes de codificação segura, ferramentas de análise estática e técnicas de programação defensiva para eliminar fragilidades, impor a sanificação de entradas e entregar software fortalecido e resiliente contra ciberataques.

Até mesmo programadores experientes em Java não dominam, por meio de qualquer processo definitivo, os diversos serviços de segurança oferecidos pela plataforma e tampouco estão cientes das diferentes vulnerabilidades relevantes para aplicações web escritas em Java.

O curso – além de apresentar os componentes de segurança da Standard Java Edition – aborda questões de segurança da Java Enterprise Edition (JEE) e de serviços web. A discussão sobre serviços específicos é precedida pelos fundamentos da criptografia e da comunicação segura. Diversos exercícios tratam de técnicas declarativas e programáticas de segurança na JEE, enquanto são discutidos tanto a segurança em camada de transporte quanto a segurança de ponta a ponta nos serviços web. O uso de todos os componentes é apresentado por meio de vários exercícios práticos, nos quais os participantes podem testar pelas próprias mãos as APIs e ferramentas discutidas.

O curso também revisa e explica as falhas de programação mais frequentes e graves da linguagem e plataforma Java, bem como vulnerabilidades relacionadas à web. Além dos bugs típicos cometidos por programadores Java, as vulnerabilidades de segurança introduzidas abrangem tanto questões específicas da linguagem quanto problemas originados do ambiente de tempo de execução. Todas as vulnerabilidades e os ataques pertinentes são demonstrados por meio de exercícios de fácil compreensão, seguidos pelas diretrizes recomendadas de codificação e pelas possíveis técnicas de mitigação.

Os participantes que assistirem a este curso poderão

• Compreender os conceitos básicos de segurança, segurança de TI e codificação segura
• Aprender sobre vulnerabilidades web além do OWASP Top Ten e saber como evitá-las
• Entender os conceitos de segurança de serviços web
• Aprender a usar vários recursos de segurança do ambiente de desenvolvimento em Java
• Tener uma compreensão prática da criptografia
• Compreender as soluções de segurança do Java EE
• Aprender sobre erros comuns de codificação e como evitá-los
• Obter informações sobre algumas vulnerabilidades recentes no framework Java
• Adquirir conhecimento prático no uso de ferramentas de teste de segurança
• Obter fontes e leituras adicionais sobre práticas de codificação segura

Público-alvo

Desenvolvedores

Várias linguagens de programação estão disponíveis hoje para compilar código para os frameworks .NET e ASP.NET. O ambiente oferece meios poderosos para o desenvolvimento seguro, mas os desenvolvedores devem saber como aplicar técnicas de programação em nível de arquitetura e de código para implementar a funcionalidade de segurança desejada, evitar vulnerabilidades ou limitar sua exploração.

O objetivo deste curso é ensinar os desenvolvedores, por meio de numerosos exercícios práticos, a impedir que códigos não confiáveis executem ações privilegiadas, proteger recursos por meio de autenticação e autorização robustas, fornecer chamadas de procedimento remoto, gerenciar sessões, introduzir diferentes implementações para certas funcionalidades, entre muitos outros temas.

A introdução às diferentes vulnerabilidades começa apresentando alguns problemas de programação típicos cometidos ao utilizar o .NET. Já a discussão sobre as vulnerabilidades do ASP.NET aborda também as diversas configurações do ambiente e seus efeitos. Por fim, o tema das vulnerabilidades específicas do ASP.NET não lida apenas com desafios gerais de segurança de aplicações web, mas também com questões especiais e métodos de ataque como a manipulação do ViewState ou os ataques de terminação de strings.

Os participantes deste curso serão capazes de

• Compreender os conceitos básicos de segurança, segurança da informação e codificação segura
• Aprender sobre vulnerabilidades web além do OWASP Top Ten e saber como evitá-las
• Aprender a utilizar vários recursos de segurança do ambiente de desenvolvimento .NET
• Adquirir conhecimento prático no uso de ferramentas de teste de segurança
• Conhecer erros comuns de codificação e como evitá-los
• Tomar ciência de algumas vulnerabilidades recentes no .NET e ASP.NET
• Obter fontes e leituras complementares sobre práticas de codificação segura

Público-alvo

Desenvolvedores

O curso oferece habilidades essenciais para desenvolvedores PHP necessárias para tornar suas aplicações resistentes a ataques contemporâneos pela Internet. Vulnerabilidades web são discutidas através de exemplos baseados em PHP, indo além do OWASP Top Ten, abordando vários tipos de ataques de injeção, injeções de scripts, ataques contra o gerenciamento de sessões do PHP, referências diretas a objetos inseguras, problemas com upload de arquivos, entre outros. Vulnerabilidades relacionadas ao PHP são introduzidas agrupadas nos tipos padrão de vulnerabilidades: validação de entrada ausente ou inadequada, tratamento incorreto de erros e exceções, uso inadequado de recursos de segurança e problemas relacionados a tempo e estado. Para este último, discutimos ataques como contornar o open_basedir, negação de serviço por meio de 'magic float' (float mágico) ou o ataque de colisão de tabela hash. Em todos os casos, os participantes ficarão familiarizados com as técnicas e funções mais importantes a serem utilizadas para mitigar os riscos listados.

Um foco especial é dado à segurança do lado do cliente, abordando questões de segurança do JavaScript, Ajax e HTML5. Diversas extensões relacionadas à segurança do PHP são apresentadas, como hash, mcrypt e OpenSSL para criptografia, ou Ctype, ext/filter e HTML Purifier para validação de entrada. As melhores práticas de endurecimento (hardening) são fornecidas em conexão com a configuração do PHP (configurando o php.ini), Apache e o servidor em geral. Finalmente, é dada uma visão geral sobre diversas ferramentas e técnicas de teste de segurança que desenvolvedores e testadores podem usar, incluindo scanners de segurança, testes de penetração e pacotes de exploits, snifers (capturadores de tráfego), servidores proxy, ferramentas de fuzzing e analisadores estáticos de código fonte.

Tanto a introdução às vulnerabilidades quanto as práticas de configuração são apoiadas por uma série de exercícios práticos demonstrando as consequências de ataques bem-sucedidos, mostrando como aplicar técnicas de mitigação e introduzindo o uso de diversas extensões e ferramentas.

Os participantes que cursarem este curso

• Compreenderão os conceitos básicos de segurança, segurança da informação (IT Security) e codificação segura
• Aprenderão sobre vulnerabilidades web além do OWASP Top Ten e saberão como evitá-las
• Aprenderão sobre vulnerabilidades do lado do cliente e práticas de codificação segura
• Terão uma compreensão prática de criptografia
• Aprenderão a usar diversos recursos de segurança do PHP
• Aprenderão sobre erros típicos de codificação e como evitá-los
• Serão informados sobre vulnerabilidades recentes do framework PHP
• Adquirirão conhecimento prático no uso de ferramentas de teste de segurança
• Receberão fontes e leituras complementares sobre práticas de codificação segura

Público-alvo

Desenvolvedores

A formação integrada do núcleo do SDL oferece uma visão sobre o design, o desenvolvimento e os testes de software seguro por meio do Ciclo de Desenvolvimento de Software Seguro (SDL) da Microsoft. Ela fornece uma visão geral introdutória (nível 100) dos blocos de construção fundamentais do SDL, seguida pelas técnicas de design aplicáveis para detectar e corrigir falhas nas etapas iniciais do processo de desenvolvimento.

Abordando a fase de desenvolvimento, o curso apresenta uma visão geral dos bugs de programação típicos relevantes para a segurança, tanto em código gerenciado quanto nativo. Os métodos de ataque são apresentados para as vulnerabilidades discutidas, juntamente com as técnicas de mitigação associadas, tudo explicado por meio de uma série de exercícios práticos que proporcionam experiência prática de hacking aos participantes. A introdução dos diferentes métodos de teste de segurança é seguida pela demonstração da eficácia de várias ferramentas de teste. Os participantes podem entender o funcionamento dessas ferramentas por meio de exercícios práticos, aplicando as ferramentas ao código vulnerável já discutido.

Os participantes que cursarem esta formação

Compreenderão os conceitos básicos de segurança, segurança de TI e programação segura

Conhecerão as etapas essenciais do Ciclo de Desenvolvimento de Software Seguro (SDL) da Microsoft

Aprenderão práticas de design e desenvolvimento seguros

Aprenderão sobre os princípios de implementação segura

Compreenderão a metodologia de teste de segurança

• Obter fontes e leituras complementares sobre práticas de codificação segura

Público-alvo

Desenvolvedores, Gerentes

Neste curso presencial com instrutor em Brasil, os participantes aprenderão como formular a estratégia de segurança adequada para enfrentar os desafios da segurança no ambiente DevOps.

Este workshop de classe mundial, inovador e prático mergulha os participantes nas realidades críticas da segurança de pipelines CI/CD modernos. Projetado para profissionais de segurança, engenheiros DevOps e desenvolvedores ansiosos para dominar a defesa avançada contra brechas em pipelines, o treinamento combina simulações de ataque ao vivo com ferramentas líderes do setor e técnicas práticas de defesa.

O Engenheiro Certificado ECDE de DevSecOps do EC-Council (ECDE) é um curso prático projetado para capacitar profissionais com as competências necessárias para integrar a segurança em todo o ciclo de vida do DevOps, permitindo o desenvolvimento de software seguro desde o planejamento até a implementação.

Este treinamento ao vivo e ministrado por instrutor (online ou presencial) destina-se a profissionais de software e DevOps de nível intermediário que desejam incorporar práticas de segurança nos pipelines CI/CD, garantindo a entrega de código seguro e em conformidade.

Ao final deste treinamento, os participantes serão capazes de:

• Compreender os princípios e práticas do DevSecOps.
• Garantir a segurança de todas as etapas do pipeline CI/CD utilizando ferramentas automatizadas.
• Implementar práticas de codificação segura e varredura de vulnerabilidades.
• Preparar-se para a certificação ECDE por meio de laboratórios práticos e revisão.

Formato do Curso

• Aula interativa e discussão.
• Uso prático das ferramentas DevSecOps em pipelines simulados.
• Exercícios orientados focados no desenvolvimento e na implementação seguros.

Opções de Personalização do Curso

• Para solicitar um treinamento personalizado para este curso com base nos fluxos de trabalho ou na cadeia de ferramentas da sua equipe, entre em contato conosco para organizar a agenda.

Baseado nas orientações mais recentes do Projeto OWASP GenAI Security, os participantes aprenderão a identificar, avaliar e mitigar ameaças específicas da IA por meio de exercícios práticos e cenários do mundo real.

Esta formação prática e ao vivo em Brasil (online ou presencial) destina-se a desenvolvedores web e líderes que desejam explorar e implementar o padrão de referência OWASP Top 10 para proteger suas aplicações web.

Ao final desta formação, os participantes serão capazes de elaborar estratégias, implementar, proteger e monitorar suas aplicações web e serviços utilizando o documento OWASP Top 10.

Este treinamento ao vivo com instrutor em Brasil (online ou presencial) é voltado para desenvolvedores, engenheiros e arquitetos que desejam aplicar a estrutura, os princípios e as técnicas de teste do WSTG para proteger suas aplicações e serviços web.

Ao final deste treinamento, os participantes serão capazes de:

• Utilizar o WSTG para implementar processos e técnicas de teste no ciclo de desenvolvimento web.
• Explorar diferentes técnicas de teste para personalizar a estrutura do WSTG com base nas necessidades do negócio.
• Realizar diversos métodos de testes de segurança para proteger aplicações web contra riscos e ataques.
• Criar relatórios de avaliação para documentar as descobertas e os resultados dos testes de segurança.

Este curso em Brasil tem como objetivo ajudar no seguinte:

1. Ajudar os desenvolvedores a dominar as técnicas de escrita de código seguro
2. Ajudar os testadores de software a verificar a segurança do aplicativo antes de publicá-lo em ambiente de produção
3. Ajudar os arquitetos de software a entender os riscos envolvidos nos aplicativos
4. Ajudar líderes de equipe a estabelecer as linhas-base de segurança para os desenvolvedores
5. Ajudar webmasters a configurar os servidores para evitar incorreções na configuração

Este curso abrange os conceitos e princípios de codificação segura com Java por meio da metodologia de teste do Open Web Application Security Project (OWASP). O Projeto de Segurança de Aplicações Web Aberto é uma comunidade online que cria artigos, metodologias, documentação, ferramentas e tecnologias de acesso livre na área de segurança de aplicações web.