Einführung in die Web Sicherheit

Sicherheitskonzepte, Angriffe und Gegenmassnahmen für Webanwendungen – unabhängig vom Framework, mit praktischen Übungen.

2 Tage
Fortgeschritten
Remote oder Inhouse
Deutsch & Englisch

Training anfragen Zur Agenda

Für wen

Web-Entwicklerinnen und -Entwickler aller Frameworks
Teams, die Security-Anforderungen aus Audits umsetzen müssen
Technische Leads, die Sicherheitsentscheidungen treffen

Danach kann euer Team

Die wichtigsten Angriffe auf Webanwendungen erkennen und einordnen
Sicherheitskonzepte wie Same-Origin-Policy, CORS und CSP korrekt einsetzen
Eine Webanwendung selbst auf Schwachstellen prüfen

Voraussetzungen

Kenntnisse in HTML, CSS, JavaScript und HTTP
Keine Security-Vorkenntnisse nötig
Laptop mit Browser und Editor

Framework- bzw. sprachunabhängiger 2-Tages-Workshop in Web Security. Voraussetzung sind Kenntnisse über Web-Technologien (HTML, CSS, JavaScript, HTTP)

Agenda

Reihenfolge und Tiefe der Blöcke passen wir an euer Team an – was ihr schon beherrscht, lassen wir weg, eure Fragen bekommen die Zeit.

01
IT-Security Grundlagen
- CIA-Triade / Sicherheitsprinzipien
- Verschlüsselung
- Hashing
- Symmetrische / asymmetrische Verschlüsselung
- Authentication & Authorization
02
Sicherheitskonzepte in Webanwendungen
- Same Origin Policy / Cross Origin Resource Sharing
- Cookie-Sicherheit (Cookie-Attribute wie httpOnly)
- HTTP-Sicherheit
- Richtiger Einsatz sicherheitsrelevanter HTTP-Header
- Content Security Policy (CSP)
- JWT
- OAuth2 und OpenID Connect
- uvm.
03
Praktische Anwendung der Sicherheitskonzepte
- Wie man Datenintegrität sicherstellt, selbst wenn diese
  - über unsichere Kanäle laufen
  - den Kommunikationsweg absichert
  - Anwendungen mehrstufig schützt
  - Passwörter sicher speichert und
- Worauf man achten muss bei einer
  - Authentifizierungs-Implementierung
  - Einsatz eines Web-Frameworks
- Sichere Implementierung von
  - Formularen und Datei-Uploads
  - Denial-of-Service-Absicherungsstrategien
  - Sicherheitsmassnahmen für das Frontend und
  - Sichere API-Entwicklung u.a. mit REST-Services
04
Angriffe auf Webanwendungen
- OWASP Top-10
- Credential Attacks
- Cross-Site-Scripting
- Cross Site Request Forgery (CSRF)
- Diverse Injection-Attacken (z.B. SQL)
- DoS
05
Absicherung von Webanwendungen
- im Zuge der vorgestellten Angriffsvektoren
06
Einführung in das Prüfen auf Schwachstellen einer Webanwendung
- Manuelle und automatische Werkzeuge
- statische und dynamische Analyse zum Scannen auf Sicherheitslücken

Euer Trainer

Martina Kraus
Google Developer Expert
Application Security Engineer und Google Developer Expert, spricht auf internationalen Konferenzen über Web-Sicherheit und organisiert die NG-DE mit.
Ganzes Profil →