1. Giới thiệu khóa học
 
Hiện nay, các ứng dụng web từ các phần mềm quản lý nội bộ đến các hệ thống quản lý tài chính, từ các ứng dụng thương mại điện tử đến các hệ thống giao dịch ngân hàng, bao gồm quy mô sử dụng trong hệ thống mạng nội bộ đến cung cấp rộng rãi cho người dùng internet đang đối mặt với các vụ tấn công, xâm hại vào các máy chủ và website (theo http://www.sans.org).
 
Xuất phát từ thực tế đó, khóa học “Bảo mật ứng dụng Web” được thiết kế đặc biệt, cung cấp học viên kiến thức, kinh nghiệm về cấu hình, cài đặt, bảo trì và nâng cao tính năng bảo mật cho máy chủ và các ứng dụng web nhằm đảm bảo an toàn trước nguy cơ tấn công thông qua website của cơ quan, doanh nghiệp
 
2. Mục tiêu khóa học
  • Hiểu rõ khái niệm về “Web hacking”, các kiểu xâm nhập như SQL Injection, Session Hijack, DoS, Social Engineering v.v…
  • Nhận biết được các lỗi bảo mật trên ứng dụng web và cách phòng chống thông qua các phần mềm chuyên dụng để quét lỗi hệ thống.
  • Nắm được các dạng tấn công dữ liệu và cách hạn chế lỗi bảo mật trên các máy chủ dữ liệu.
  • Tìm hiểu https và cấu hình sử dụng trên Web Server.
  • Thiết kế và xây dựng các giải pháp phòng chống cho hệ thống Web
3. Chứng nhận:
 
Học viên hoàn thành đồ án cuối khóa sẽ được CUSC cấp chứng nhận hoàn thành khóa học “Bảo mật ứng dụng web”
 
4. Điểm nổi bật của chương trình
  • Phòng học theo chuẩn quốc tế, số lượng học viên <= 25 giúp học viên có điệu kiện học tập và trao đổi tốt hơn.
  • Giáo viên giảng dạy giàu kinh nhiệm trong lĩnh vực bảo mật.
  • Tài liệu thiết kế theo hướng ngữ cảnh, mô tả tình huống thực tế, giúp sinh viên tiếp thu bài một cách trực quan và áp dụng ngay vào công việc.
  • Chương trình giảng dạy trên những phiên bản mới nhất của các ứng dụng hỗ trợ thăm dò, quét và kiểm tra các lỗi bảo mật.
5. Đối tượng tham dự:
 
Học viên có kiến thức về Tin học (có thêm kiến thức về mạng và lập trình là một lợi thế).
 
6. Thời lượng khóa học: 30 giờ 
 
7. Chương trình đào tạo
 
Chương 1: TỔNG QUAN VỀ BẢO MẬT
  • Giới thiệu về bảo mật
  • Những tài nguyên cần bảo vệ
  • Kẻ tấn công là ai?
  • Những lỗ hỏng bảo mật
  • Các kiểu tấn công của hacker
  • Các biện pháp phát hiện hệ thống bị tấn công
  • Các quy tắc bảo mật
  • Xây dựng chính sách bảo mật
  • Chuẩn bị và làm quen với các công cụ học tập và công cụ tạo máy ảo

Chương 2: WEB SERVER VÀ GIAO THỨC HTTPS

  • Quét máy chủ web
  • Các lỗi bảo mật phổ biến trên webserver
  • Cách phòng chống
  • Chứng thực và các loại chứng thực.
  • SSL (Secure Socket Layer) là gì?
  • Nhu cầu của chứng thực dịch vụ dựa trên SSL
  • Cấp chứng nhận cho máy chủ ứng dụng: HTTS, FTPS, …
  • Các nhu cầu ứng dụng: eBanking, thanh toán điện tử, …
  • Ưu điểm & khuyết điểm
  • Sử dụng Web-Based Password Cracking with Brutus để bẻ khóa mật khẩu và cách phòng chống
  • Sử dụng burp suite để bẻ khóa mật khẩu web và cách phòng chống
  • Cách phòng chóng và khắc phục:
  • Kiểm tra và phân tích hiện trạng của web server với: CORE Impact pro, Immunity Canvas,…
  • Cài đặt Enterprise Certificate Authority,…
  • Cấp chứng chỉ cho máy chủ IIS.
  • Kiểm tra vận hành ứng dụng trên giao thức HTTPS.

  Chương 3  : TẤN CÔNG ỨNG DỤNG WEB

  • Các vấn đề an toàn ứng dụng web hiện tại và xu hướng.
  • Các tiêu chí đánh giá hệ thống ứng dụng web an toàn
  • Kiểm tra lỗi bảo mật cho ứng dụng web
  • Các phương pháp xác thực web cơ bản
  • Kỹ thuật bẻ khóa mật khẩu web
  • Kỹ thuật tấn công bằng cách chèn những đoạn mã script vào các website (XSS)
  • Biện pháp phòng chống
  • Chuẩn bị ứng dụng web
  • Dò lỗi hệ thống
  • Xây dựng webserver giả mạo
  • Tấn công giả mạo trang Web (Web Phishing Attack)
  • Phòng chống và khắc phục:
  • Các module nguồn mở dễ bị tấn công và cách khắc phục, phòng chống: CKEditor,…

Chương 4: TẤN CÔNG CƠ SỞ DỮ LIỆU

  • Cơ sở dữ liệu phổ biến
  • Các dạng tấn công cơ sở dữ liệu phổ biến (top 10)
  • Kỹ thuật khai thác lỗi SQL Injection
  • Công cụ tấn công SQL Injection
  • Biện pháp phòng chống
  • Tìm kiếm những website bị lỗi Sql Injection.
  • Khai thác các công cụ dò lỗi SQL Injection: Vega, Zed attack proxy, Wapiti, AppScan, SQLMap.
  • Khai thác lỗ hỏng Sql injection
  • Phòng chống SQL Injection

Tải về