Материал данного курса позволит слушателям изучить принципы, механизмы и инструменты проведения тестирования на возможность проникновение – pentest’а – в Web-приложения. В данном курсе пентест рассматривается как один из процессов, необходимых для построения архитектуры корпоративной кибербезопасности, поэтому в нём также поднимаются методологические вопросы организации пентеста, а также использования данных, полученных в результате его проведения.

Аудитория курса:

Инженеры, занимающиеся проведением тестирований на проникновения, а также инженеры, проектирующие архитектуру корпоративной кибербезопасности.

Предварительные требования к аудитории:

Необходимы знания общей кибербезопасности на уровне курса ANT0000, а также знания о работе сетей TCP/IP на уровне курса ANT-N101. Рекомендуется обладать знаниями о моделировании угроз на уровне курса ANT0052.

Содержание курса:

• Модуль 1 – Принципы организации пентеста.
• Цели и задачи проведения пентеста.
• Pentest в рамках архитектуры корпоративной безопасности.
• Цикл жизни кибератак.
• Модели кибератак.
• Инструменты для проведения пентеста.
• Обработка результатов проведения пентеста.

• Модуль 2 – Подготовка к проведению кибератаки.
• Использование информации из открытых источников. OSINT.
• Сканирование целей и выявление уязвимых мест для кибератак.
• Подбор нужных инструментов и методов проведения кибератаки.

• Модуль 3 – Архитектура и компоненты Web-приложений.
• HTML и HTTP.
• Кодировки данных.
• Web-серверы.
• Web-клиенты.
• Расширения browser’ов.
• «Активный» контент.
• Архитектура Progressive Web App.
• Атаки на web-приложения. OWASP top 10.

•  Модуль 4 – Перехват Web-трафика.
• Организация перехвата web-трафика.
• Proxy-сервисы.
• Анализ Web-трафика и извлечение данных.

• Модуль 5 – Атаки на серверную часть Web-приложения.
• Организация DoS-атак на Web-приложения.
• Эксплуатация ошибок в правилах авторизации и работы с файлами.
• Эксплуатация логических ошибок работы Web-приложений.
• Эксплуатация ошибок в настройках и уязвимостей CMS.
• Организация вредоносного внедрения в ОС Web-приложения.
• Перехват HTTP-сессий и данных cookie.
• Обход шифрования HTTPS/TLS.
• Получение доступа к учетным записям Web-приложений.
• Организация кибератак на системы аутентификации типа SSO.
• Эксплуатация Web-приложений через SQL-инъекции.
• Организация атак на базы данных web-приложений.
• Организация кибератак типа SSRF.
• Организация кибератак на облачные сервисы.

• Модуль 6 – Атаки на клиентскую часть Web-приложения.
• Организация кибератак типа XSS.
• Организация кибератак типа XXE.
• Организация кибератак типа CSRF.
• Организация атак типа Clickjacking.

• Модуль 7 – Развитие кибератаки через Web-приложение.
• Извлечение данных.
• Запуск исполнимого кода в ОС Web-приложения.
• Эскалация привилегий учетной записи.
• Распространение контроля над другими системами в ходе кибератаки.
• Удаление следов кибератаки.

• Модуль 8 – Подготовка отчета о проведении пентеста.
• Модель угроз и результаты проведения пентеста.
• Управление рисками на основе данных, выявленных пентестом.
• Модернизация корпоративной программы учета уязвимостей.
• Модернизация стратегических метрик кибербезопасности.