Testy bezpieczeństwa dla QA/testerów

Jednym z elementów definiujących jakość wytwarzanego oprogramowania jest zapewniany przez nie poziom bezpieczeństwa. Warsztaty Testy bezpieczeństwa dla QA mają na celu pokazanie testerom w jaki sposób, nieznacznie poszerzając zakres wykonywanych testów, mogą wykrywać występujące w oprogramowaniu podstawowe podatności. W ramach warsztatu uczestnicy poznają teorię dotyczącą zagadnień związanych z testowaniem bezpieczeństwa aplikacji webowych oraz wykonają ćwiczenia, które pozwolą w praktyce zapoznać się z omawianymi atakami i narzędziami.

Podczas warsztatu:

• poznasz narzędzia przydatne w przeprowadzaniu testów bezpieczeństwa
• dowiesz się, czym jest OWASP
• zdobędziesz wiedzę umożliwiającą przeprowadzanie podstawowych ataków
• poznasz sposoby klasyfikacji rangi zagrożenia i zasady tworzenia dobrych raportów z testów bezpieczeństwa

Wymagania wstępne:

• znajomość obsługi systemu Linux lub Windows i podstawowa obsługa terminala
• doświadczenie w przeprowadzaniu testów manualnych

Podczas warsztatu uczestnicy korzystają z własnych komputerów z systemem Linux, Windows lub MacOS. Wymagana jest instalacja wirtualnej maszyny z systemem Kali Linux w dowolnym menadżerze maszyn wirtualnych. Oprócz tego, każdy z użytkowników jest proszony o zainstalowanie aplikacji webowej Web Goat, która posłuży do przećwiczenia omawianych ataków. Instrukcja instalacji Web Goat oraz Kali Linux zostanie przekazana uczestnikom szkolenia drogą mailową.

Program warsztatu:

1. Wprowadzenie
2. O mnie
3. Jaki jest cel testów bezpieczeństwa?
4. Standardy w testach bezpieczeństwa
5. OWASP Top10 – na tym się skupiamy
6. OWASP Testing Guide
7. OWASP ASVS – minimum
8. PTES – minimum
9. OSSTMM – minimum
10. Przypomnienie niezbędnych wiadomości
11. Narzędzia przydatne w testach bezpieczeństwa
12. Etapy (fazy) przeprowadzenia testów bezpieczeństwa - teoretyczne omówienie
13. Rozpoznanie testowanego systemu (rekonesans / OSINT)
14. Modelowanie i identyfikacja zagrożeń oraz podatności
15. Exploitacja
16. Analiza ryzka
17. Raportowanie
18. Podatności (20 min)
19. Czym jest podatność?
20. Klasyfikacja podatności.
21. Bazy podatności.
22. Przegląd najważniejszych podatności: (połączony z samodzielnym wykorzystaniem podatności przez uczestników szkolenia w aplikacji WebGoat)
23. Wstrzyknięcia (SQL Injection, XXE)
24. Niepoprawna obsługa uwierzytelnienia
25. Ujawnienie danych wrażliwych
26. XXE
27. Nieprawidłowa kontrola dostępu
28. Niepoprawna konfiguracja mechanizmów bezpieczeństwa
29. XSS
30. Niepoprawna deserializacja
31. Używanie komponentów ze znanymi podatnościami
32. Niedostateczne monitorowanie i tworzenie logów
33. Tworzenie dobrego raportu z testów bezpieczeństwa