Wie man sichere Code schreibt Schulung

Die Implementierung einer sicheren Netzwerkanwendung kann schwierig sein – selbst für Entwickler, die bereits mit verschiedenen kryptographischen Bausteinen wie Verschlüsselungstechniken oder digitalen Signaturen gearbeitet haben. Um den Teilnehmern die Rolle und Anwendung dieser kryptographischen Primitiven verständlich zu machen, legt der Kurs zunächst einen soliden Grundstein hinsichtlich der Hauptanforderungen an eine sichere Kommunikation – nämlich vertrauliche Übertragung, Integrität, Authentizität, Identifizierung über entfernte Systeme sowie Anonymität. Ebenfalls werden typische Probleme aufgezeigt, die diese Anforderungen beeinträchtigen können, samt praktischen Lösungsansätzen.

Da die Kryptographie ein zentraler Bestandteil der Netzwerksicherheit ist, befasst sich der Kurs außerdem mit den wichtigsten Algorithmen aus den Bereichen symmetrische Verschlüsselung, Hashfunktionen, asymmetrische Kryptographie sowie Schlüsselaustauschverfahren. Anstatt auf tiefgreifende mathematische Zusammenhänge einzugehen, werden diese Aspekte aus der Perspektive eines Entwicklers erläutert – inklusive typischer Einsatzszenarien und praxisrelevanter Überlegungen wie etwa zur Nutzung öffentlicher Schlüsselinfrastrukturen. Zudem stellt der Kurs verschiedene Sicherheitsprotokolle vor, insbesondere die weit verbreiteten Protokollfamilien IPSEC und SSL/TLS.

Auch gängige kryptographische Schwachstellen werden erörtert – sowohl in Bezug auf bestimmte Algorithmen als auch Sicherheitsprotokolle. Zu nennen sind dabei unter anderem BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding Oracle, Lucky Thirteen sowie POODLE, ebenso wie der RSA-Timing-Angriff. In jedem Fall werden die jeweiligen praktischen Auswirkungen und Folgen dargelegt – erneut jedoch ohne übermäßige mathematische Vertiefung.

Schließlich kommt die Sicherheit von XML zum Zug, da diese Technologie für den Datenaustausch in Netzwerkanwendungen von großer Bedeutung ist. Es werden unter anderem der Einsatz von XML in Webanwendungen und SOAP-Nachrichten behandelt sowie Schutzmaßnahmen wie XML-Signaturen oder XML-Verschlüsselung erläutert. Außerdem wird auf mögliche Schwächen dieser Schutzmechanismen sowie spezifische Sicherheitsprobleme im Kontext von XML eingegangen, etwa XML-Injection-Angriffe, Angriffe mittels externer XML-Entitäten (XXE), sogenannte XML-Bomben oder XPath-Injektionen.

Am Ende dieses Kurses verstehen die Teilnehmer:

• Die grundlegenden Konzepte der IT-Sicherheit sowie des sicheren Programmierens
• Die Anforderungen an eine sichere Kommunikation
• Netzwerkangriffe und Gegenmaßnahmen in den verschiedenen Schichten des OSI-Modells
• Praktische Grundlagen der Kryptographie
• Essenzielle Sicherheitsprotokolle
• Neueste Angriffe auf kryptographische Systeme
• Aktuelle Schwachstellen in diesem Bereich
• Sicherheitsaspekte von Webanwendungen
• Nützliche Quellen und weiterführende Literatur zu sicheren Programmierpraktiken

Zielgruppe

Entwickler, IT-Fachkräfte

Das Schreiben von sicherem C- und C++-Code erfordert eine rigorose Abwehr gegen bösartige Ausnutzung, Speicherbeschädigungen und Umgehungsmöglichkeiten bei der Eingabevalidierung. In diesem Kurs werden Schwachstellenmuster wie Pufferüberläufe, Use-after-free, ganzzahlige Überläufe und Typprobleme behandelt. Die Teilnehmer wenden sichere Programmierrichtlinien, statische Analyse-Tools und defensive Programmierungstechniken an, um Schwachstellen zu beseitigen, die Eingabevalidierung durchzusetzen und robuste Software zu liefern, die gegen Cyberangriffe widerstandsfähig ist.

Auch erfahrene Java-Programmierer beherrschen nicht zwingend alle Sicherheitsfunktionen, die Java bietet, und sind sich ebenso der verschiedenen Schwachstellen bewusst, die für in Java geschriebene Webanwendungen von Bedeutung sind.

Dieser Kurs stellt neben den Sicherheitskomponenten der Standard-Java-Edition auch Probleme im Zusammenhang mit der Java Enterprise Edition (JEE) sowie Webservices dar. Vor der Erörterung konkreter Services werden die Grundlagen der Kryptographie und sichere Kommunikation vermittelt. In zahlreichen Übungen wird gezeigt, wie deklarative und programmatische Sicherheitstechniken in JEE eingesetzt werden können; außerdem werden sowohl die Transport- als auch die Ende-zu-Ende-Sicherheit von Webservices behandelt. Die Anwendung aller Komponenten wird anhand praktischer Aufgaben demonstriert, bei denen die Teilnehmenden selbst mit den besprochenen APIs und Werkzeugen arbeiten können.

Zudem werden die häufigsten sowie kritischsten Programmierfehler der Java-Sprache und -Plattform dargestellt, ebenso wie typische Sicherheitslücken im Webumfeld. Neben den allgemeinen Fehlern von Java-Entwicklern umfassen die vorgestellten Schwachstellen sowohl sprachspezifische Probleme als auch Risiken aus dem Laufzeitzusammenhängen. Mittels leicht verständlicher Übungen werden diese Schwachstellen sowie die damit verbundenen Angriffe erläutert; daraufhin folgen bewährte Programmierpraktiken und wirksame Abhilfemaßnahmen.

Teilnehmende dieses Kurses lernen:

• Grundlagen zu Sicherheit, IT-Sicherheit sowie sicherem Programmieren verstehen
• Weitere als die OWASP Top Ten bekannte Web-Schwachstellen erkennen und deren Vermeidung kennenlernen
• Sicherheitskonzepte von Webservices begreifen
• Diverse Sicherheitsmerkmale der Java-Entwicklungsumgebung nutzen können
• Ein praktisches Verständnis für Kryptographie erlangen
• Die Sicherheitsmechanismen von Java EE verstehen
• Häufige Programmierfehler identifizieren sowie deren Vermeidung begreifen
• Aktuelle Schwachstellen im Java-Framework kennenlernen
• Praktische Kenntnisse beim Einsatz von Sicherheitstestwerkzeugen erlangen
• Nützliche Quellen sowie weiterführende Literatur zu sicherem Programmieren finden

Zielgruppe

Entwickler

Heutzutage stehen zahlreiche Programmiersprachen zur Verfügung, mit denen Code für die .NET- und ASP.NET-Frameworks kompiliert werden kann. Die Umgebung bietet leistungsfähige Mittel für eine sichere Entwicklung – doch Entwickler müssen wissen, wie sie architektur- sowie codebasierte Techniken anwenden, um die gewünschten Sicherheitsfunktionen zu implementieren und Schwachstellen zu vermeiden bzw. deren Ausnutzung einzuschränken.

Ziel dieses Kurses ist es, Entwicklern anhand zahlreicher praktischer Übungen beizubringen, wie unvertrauenswürdiger Code daran gehindert werden kann, privilegierte Aktionen auszuführen, Ressourcen durch stärkere Authentifizierungs- und Autorisierungsmechanismen geschützt werden können sowie Remote Procedure Calls realisiert, Sitzungen verwaltet und verschiedene Implementierungen für bestimmte Funktionalitäten eingesetzt werden.

Die Einführung in diverse Schwachstellen beginnt mit der Darstellung typischer Programmierfehler bei der Nutzung von .NET; die Betrachtung von Sicherheitsproblemen im Zusammenhang mit ASP.NET befasst sich außerdem mit verschiedenen Umgebungseinstellungen sowie deren Auswirkungen. Schließlich werden nicht nur allgemeine Herausforderungen in der Webapplikationssicherheit behandelt, sondern auch spezifische Probleme und Angriffsmethoden wie Attacken auf den ViewState oder String-Terminierungsangriffe.

Teilnehmer dieses Kurses erlernen

• Die grundlegenden Konzepte der Sicherheit, IT-Sicherheit und sicherem Programmieren zu verstehen
• Weitere Web-Schwachstellen jenseits der OWASP Top Ten kennenzulernen sowie deren Vermeidung zu lernen
• Die verschiedenen Sicherheitsfunktionen der .NET-Entwicklungsumgebung anzuwenden
• Praktische Kenntnisse im Umgang mit Werkzeugen zur Sicherheitstests zu erlangen
• Typische Fehler bei der Programmierung zu erkennen und zu vermeiden
• Aktuelle Schwachstellen in .NET und ASP.NET kennenzulernen
• Quellen sowie weiterführende Literatur zu bewährten Verfahren des sicheren Programmierens zu finden

Zielgruppe

Entwickler

Dieser Kurs vermittelt PHP-Entwicklern die notwendigen Fähigkeiten, um ihre Anwendungen vor aktuellen Internetangriffen zu schützen. Web-Schwachstellen werden anhand von PHP-bezogenen Beispielen erläutert, die über die OWASP Top Ten hinausgehen und verschiedene Arten von Injektionsangriffen, Script-Injektionen, Angriffen auf das Session-Handling in PHP, unsichere direkte Objektverweise (IDOR), Probleme im Zusammenhang mit Dateiuploads und viele weitere Themen behandeln. PHP-spezifische Schwachstellen werden nach den standardmäßigen Kategorien unvollständiger oder fehlerhafter Eingabevalidierung, falscher Fehler- und Ausnahmehandhabung, unsachgemäßer Nutzung von Sicherheitsfeatures sowie zeit- und zustandsbezogenen Problemen vorgestellt. Zu diesen letzteren zählen Angriffsszenarien wie das Umgehen der open_basedir-Einschränkung, Denial-of-Service-Angriffe über den 'magic float'-Mechanismus oder Hash-Tabellen-Kollisionsangriffe. In allen Fällen werden die Teilnehmer mit den wichtigsten Techniken und Funktionen vertraut gemacht, um diese Risiken wirksam zu mindern.

Ein besonderer Fokus liegt auf der Sicherheit im Client-Bereich, wobei Sicherheitsprobleme von JavaScript, Ajax und HTML5 beleuchtet werden. Es werden verschiedene PHP-Erweiterungen für sicherheitsrelevante Aufgaben eingeführt, etwa Hash-Funktionen, mcrypt und OpenSSL für die Kryptografie sowie Ctype, ext/filter und HTML Purifier zur Validierung der Eingaben. Die besten Hardening-Praktiken im Zusammenhang mit der PHP-Konfiguration (Einstellung von php.ini), Apache und dem Server insgesamt werden ebenfalls vorgestellt. Abschließend erhalten die Teilnehmer einen Überblick über verschiedene Security-Testing-Tools und -Methoden, die Entwickler und Tester nutzen können, einschließlich Security-Scannern, Penetrationstesting-Tools und Exploit-Packs, Sniffern, Proxy-Servern, Fuzzing-Tools sowie statischen Quellcode-Analyseprogrammen.

Sowohl die Vorstellung der Schwachstellen als auch die Konfigurationspraktiken werden durch eine Reihe praktischer Übungen unterstützt, die die Konsequenzen erfolgreicher Angriffe aufzeigen, die Anwendung von Minderungstechniken demonstrieren und die Nutzung verschiedener Erweiterungen und Tools vorstellen.

Teilnehmer dieses Kurses können

• Die grundlegenden Konzepte der IT-Sicherheit und des sicheren Programmierens verstehen
• Weitergehende Web-Schwachstellen jenseits der OWASP Top Ten kennenlernen und wissen, wie man diese vermeidet
• Sicherheitsprobleme im Client-Bereich und sichere Codierungspraktiken erlernen
• Ein praktisches Verständnis für Kryptografie entwickeln
• Lernen, verschiedene Sicherheitsfeatures von PHP anzuwenden
• Häufige Programmierfehler erkennen und wissen, wie man sie vermeidet
• Über aktuelle Sicherheitslücken in der PHP-Framework-Ökosystem informiert sein
• Praktische Kenntnisse im Umgang mit Security-Testing-Tools erwerben
• Ressourcen und weiterführende Literatur zu sicheren Programmierpraktiken erhalten

Zielgruppe

Entwickler

Der Kurs „Combined SDL core“ vermittelt grundlegende Einblicke in die sichere Konzeption, Entwicklung und Prüfung von Software mithilfe des Microsoft Secure Development Lifecycle (SDL). Zunächst werden die wesentlichen Grundlagen des SDL erläutert. Im weiteren Verlauf lernen Teilnehmer Methoden kennen, mit denen Schwachstellen bereits in frühen Entwicklungsphasen erkannt und behoben werden können.

Der Fokus des Kurses liegt auf der Entwicklungsphase: Hier wird ein Überblick über typische Sicherheitsprobleme bei der Programmierung von sowohl verwaltetem als auch nativen Code gegeben. Für die besprochenen Schwachstellen werden Angriffsmethoden sowie passende Abwehrmaßnahmen dargestellt – wobei praktische Übungen zu einem aktiven, interaktiven Lernerlebnis beitragen. Zudem wird eine Vielzahl von Sicherheitstests vorgestellt und deren Wirksamkeit anhand konkreter Werkzeuge verdeutlicht. Durch ausführliche praktische Aufgaben erhalten die Teilnehmer Einblick in die Anwendung dieser Tools bei der Analyse bereits bekannten fehlerhaften Codes.

Nach Abschluss dieses Kurses werden die Teilnehmer

Die grundlegenden Konzepte von IT-Sicherheit sowie sicherem Programmieren verstehen

Sich mit den zentralen Schritten des Microsoft Secure Development Lifecycle vertraut machen

Sicherheitsrelevante Design- und Entwicklungsgrundsätze kennenlernen

Die Prinzipien einer sicheren Implementierung verinnerlichen

Methoden des Sicherheitstestens erlernen

• Quellen und weiterführende Literatur zu bewährten Praktiken des sicheren Programmierens finden

Zielgruppe

Entwickler sowie Manager

In diesem praxisorientierten Kurs unter Anleitung eines Experten in Deutschland erlernen die Teilnehmer, wie sie eine geeignete Sicherheitsstrategie ausarbeiten können, um den Herausforderungen im Bereich der DevOps-Sicherheit zu begegnen.

Dieser spitzenmäßige, zukunftsweisende Praktiker-Workshop führt die Teilnehmer in die zentralen Herausforderungen der Sicherheit moderner CI/CD-Pipelines ein. Er richtet sich an Sicherheitsspezialisten, DevOps-Ingenieure sowie Entwickler, die lernen möchten, wie man effektiv Angriffe auf Pipelines abwehrt. Dabei kombiniert das Training Live-Angriffssimulationen mit branchenführenden Werkzeugen und praxisnahen Verteidigungstechniken.

Der Kurs „EC-Council Zertifizierter DevSecOps-Ingenieur“ ist ein praxisorientiertes Training, das Fachkräfte darin unterstützt, Sicherheitsmaßnahmen in den gesamten DevOps-Prozess zu integrieren – von der Planung bis zur Implementierung sicheren Softwarecodes.

Dieses vom Dozenten geleitete Live-Training (online oder vor Ort) richtet sich an Software- und DevOps-Fachkräfte mittlerer Erfahrung, die Sicherheitsverfahren in ihre CI/CD-Pipelines einbinden möchten, um so sichere sowie normgerechte Code-Auslieferungen zu gewährleisten.

Am Ende dieses Trainings werden die Teilnehmenden folgende Fähigkeiten besitzen:

• Die Grundprinzipien und -verfahren des DevSecOps verstehen.
• Jede Phase der CI/CD-Pipeline mithilfe automatisierter Werkzeuge absichern.
• Sichere Codierungstechniken sowie Verfahren zur Schwachstellenanalyse anwenden.
• Sich mit praktischen Übungen auf die ECDE-Zertifizierung vorbereiten.

Ablauf des Kurses

• Interaktive Vorlesungen und Diskussionen.
• Praktischer Einsatz von DevSecOps-Werkzeugen innerhalb simulierter Pipelines.
• Geführte Übungen, die sich auf sichere Entwicklung und Bereitstellung konzentrieren.

Individuelle Anpassungsmöglichkeiten

• Falls Sie ein maßgeschneidertes Training für Ihr Team oder Ihre technischen Voraussetzungen wünschen, kontaktieren Sie uns bitte zur Absprache.

Basierend auf den neuesten Empfehlungen des OWASP GenAI Security Projects erlernen die Teilnehmer, spezifische Bedrohungen für KI zu identifizieren, zu analysieren und zu bekämpfen – anhand praktischer Übungen sowie realistischer Beispiele.

Dieses praxisorientierte Live-Training unter Leitung eines Instruktors in Deutschland (online oder vor Ort) richtet sich an Webentwickler und Führungskräfte, die den OWASP Top 10 als Standard zur Absicherung ihrer Webanwendungen nutzen möchten.

Am Ende dieser Schulung sind die Teilnehmer in der Lage, mithilfe des OWASP Top 10 Konzepte zur Sicherheit zu entwickeln, umzusetzen sowie ihre Webanwendungen und -dienste effektiv zu überwachen.

Dieses vom Dozenten geleitete Live-Training in Deutschland (online oder vor Ort) richtet sich an Entwickler, Ingenieure und Architekten, die das WSTG-Framework sowie dessen Prinzipien und Methoden nutzen möchten, um ihre Webanwendungen und -dienste abzusichern.

Nach Abschluss dieses Trainings werden die Teilnehmer in der Lage sein zu:

• Das WSTG zur Umsetzung von Testverfahren im gesamten Lebenszyklus der Webanwendungsentwicklung einzusetzen.
• Verschiedene Testmethoden kennenzulernen, um das WSTG-Framework an spezifische geschäftliche Bedürfnisse anzupassen.
• Diverse Sicherheitstestverfahren durchzuführen, um Webanwendungen vor Risiken und Angriffen zu schützen.
• Einen Bewertungsbericht zu erstellen, der die Ergebnisse der Sicherheitsprüfungen dokumentiert.

In diesem Kurs werden die Konzepte und Grundsätze sicherer Programmierung in Java anhand der von dem Open Web Application Security Project (OWASP) entwickelten Testmethoden vermittelt. Das Open Web Application Security Project ist eine Online-Community, die kostenfreie Artikel, Verfahren, Dokumentationen, Werkzeuge sowie Technologien im Bereich der Sicherheit von Webanwendungen bereitstellt.

Dieser Kurs vermittelt die Konzepte und Prinzipien des sicheren Programmierens mit ASP.NET anhand der Testmethodik des Open Web Application Security Project (OWASP). OWASP ist eine Online-Community, die frei verfügbare Artikel, Methoden, Dokumentationen, Tools und Technologien im Bereich der Sicherheit von Webanwendungen bereitstellt.

Dieser Kurs erläutert die Sicherheitsfunktionen des .NET-Frameworks sowie die Möglichkeiten zur Absicherung von Webanwendungen.