Best Practices für sichere Web-Anwendungen - SIGS DATACOM GmbH Seminar

Die weitaus größte Zahl der Angriffe auf IT-Systeme zieltmittlerweile auf Webanwendungen und Webserver. Ein Grund dafür ist dieTatsache, dass nach wie vor die meisten Webanwendungen ohne die Vorgabevon Sicherheitsanforderungen implementiert werden und Schwachstellen aufAnwendungsebene entsprechend häufig anzutreffen sind. Das Bundesamt fürSicherheit in der Informationstechnik (BSI) hat daher in seinem "Maßnahmenkatalogund Best Practices für die Sicherheit von Webanwendungen"detaillierte Empfehlungen für Industrie, Behörden und Institutionenherausgegeben.

Ausgehend von diesem Handbuch und unterEinbeziehung ähnlicher Werke der OWASP und des NISCC vermittelt derReferent Thomas Schreiber in dem 2-tägigen Intensivseminar "BestPractices für sichere Web-Anwendungen" ein in sich geschlossenes, umfassendes Konzept zur Herstellung nachhaltiger Sicherheit beiWebanwendungen, Webauftritten und Webservern. Im Mittelpunkt stehendabei Praktikabilität und Umsetzbarkeit. Denn nicht jede Schwachstellein einer Webanwendung muss auch (womöglich teuer) beseitigt werden undhäufig ist bereits ein 20%-Ansatz ausreichend, um das erforderliche Maßan Schutz herzustellen {den Erfordernissen Genüge zu tun}.

BestehendeWebanwendungen und neu zu entwickelnde Webanwendungen erfordernunterschiedliche Vorgehensweisen – diese werden im Seminarherausgearbeitet.

Seminar-Inhalte

Das Seminar besteht aus 4 Themenbereichen: 1. Welchen Bedrohungen ist meine Webanwendung heutzutage ausgesetzt? Schwachstellen und aktuelle Angriffsformen im Web, die aufgrundihrer Häufigkeit oder wegen des erhöhten Gefahrenpotentials einbevorzugtes Handeln erfordern, werden in ihrer Funktionsweise erklärtund an Live-Beispielen veranschaulicht. Die im BSI-Guide gegebenenGegenmaßnahmen werden vorgestellt und in den Gesamtzusammenhanggebracht. - OWASP Top-10, darunter XSS und SQL-Injection. Erweitertum unsere Erfahrungen mit der Situation im deutschsprachigen Raum

• Ziel: Damit das Bedrohungespotential einer Schwachstelle für die eigenenAnwendungen besser beurteilt werden kann, wird dem Teilnehmer dasnotwendige Verständnis für die Funktionsweise vermittelt.

2. Wie und wo kann ich Schutzmaßnahmen am wirkungsvollsten ansetzen? Die Prozesskette von der Planung einer Webanwendung über dieEntwicklung bis hin zu Deployment und Betrieb wird durchlaufen und eswerden die jeweiligen Ansatzpunkte und zur Verfügung stehenden Mittelfür die Verbesserung der Sicherheit aufgezeigt. Dabei wird auf Vor- undNachteile sowie Kostengesichtspunkte der jeweiligen Angriffspunkteeingegangen.

• Ziel: Dem Teilnehmer werdenBeurteilungskriterien an die Hand gegeben, um Schutzmaßnahmen für daseigene Unternehmen an den richtigen Stellen ansetzen zu können

3. Wie helfen mir kommerzielle und freie Tools und wo liegen ihre Grenzen? Es wird ein umfassender Überblick über die aktuelle Toollandschaftim Bereich Web Application Security gegeben und dargestellt, wasjenseits der Versprechen der Hersteller zu erwarten ist. Basierend aufErfahrungen aus dem praktischen Einsatz werden konkrete Empfehlungen fürdie Auswahl von Tools abgeleitet. - Application Firewalls -Codescanner und Pentesting Tools - Code Analyse Tools - freieTools

• Ziel: Der Teilnehmer wird in die Lageversetzt, die Einsatzmöglichkeiten verschiedener Tools zur WebApplication Security zu beurteilen.

4. Wie teste ichdie Sicherheit meiner Webanwendungen? Ein wesentlichererster Schritt ist die Feststellung des bereits bestehenden Grades anSicherheit {Sicherheitsgrades/Sicherheitsniveaus} der eigenenWebanwendungen. Im Seminar wird dargestellt, wie ein Unternehmen aufeffiziente Weise Aussagen über das bestehende Sicherheitsniveau erhält.   -Wie gehe ich bei einem Pentest vor / Blackbox versus Whitebox - WelcheVoraussetzungen sind bei den beauftragten Mitarbeitern zu schaffen - SolltenTests intern oder durch externe Dienstleister ausgeführt werden - Wasdarf die Sicherheitsanalyse einer Webanwendung ("Pentest") kosten?

• Ziel:Der Teilnehmer erfährt, welche Wege zur Sicherheitsanalyseeingeschlagen werden könnnen und erhält konkrete Ratschläge zurUmsetzung.

Der Referent: Thomas Schreiber, Geschäftsführer SecureNet GmbH

Lernziele

Insgesamt wird in diesem Seminar der Bogen über alle wichtigen Aspekteder Web Application Security gespannt, so dass die Teilnehmer einenkonkreten und direkt umsetzbaren Leitfaden zur Herstellung sichererWebanwendungen für das eigene Unternehmen erhalten.

Zielgruppen

• Anwendungsentwickler
• Projektleiter
• Fachlicheoder technisch Verantwortliche
• Sicherheitsbeauftragte
• Administratoren