Copyright 2017 - Studia podyplomowe IT PW Ochrona Informacji w Sieciach i Systemach Teleinformatycznych: Projektowanie i Audyt Zabezpieczeń

Bloki tematyczne:

P-T-ASBO - 1. Rekonesans oraz skanowanie (3w+3c).

Metodyki testowania bezpieczeństwa środowisk teleinformatycznych. Fazy przeprowadzania testów, cele i narzędzia w poszczególnych fazach. Podstawy rekonesansu systemów teleinformatycznych. Narzędzia do wykonywania rekonesansu: instalacja, konfiguracja oraz użycie oprogramowania. Wykrywanie, zapobieganie oraz utrudnianie rekonesansu.

Ćwiczenia laboratoryjne obejmują: Instalację, konfigurację oraz obsługę właściwego oprogramowania, zapoznanie się ze środowiskiem laboratoryjnym, wykonanie rekonesansu oraz analizę metadanych.

P-T-ASBO - 2. Skanowanie i bezpieczeństwo haseł (3w+3c)

Protokoły UDP/TCP/ICMP/ARP. Podstawy skanowania systemów teleinformatycznych. Zaprezentowanie technik podstawowych oraz zaawansowanych. Narzędzia do wykonywania skanowania: instalacja, konfiguracja oraz użycie oprogramowania. Automatyczne narzędzia do wykonywania testów bezpieczeństwa. Wykrywanie, zapobieganie oraz utrudnianie skanowania.

Bezpieczeństwo haseł, sposoby przechowywania haseł w systemach, odzyskiwanie hasła ze skrótu. Właściwości funkcji skrótu. Metoda słownikowa, brute force, tablice tęczowe. 

Ćwiczenia laboratoryjne obejmują: Instalację, konfigurację oraz obsługę właściwego oprogramowania. Samodzielne wykonanie serii testów. Próby złamania haseł.

P-T-ASBO - 3. Bezpieczeństwo aplikacji WEB (3w+3c)

Aplikacje WEB oraz zagrożenia ogólne. Specyficzne zagrożenia w zależności od użytej technologii. Bezpieczeństwo po stronie klienta. Bezpieczeństwo przeglądarki. Bezpieczeństwo po stronie serwera. Klasy ataków: ataki SQLI, ataki przejęcia sesji, XSS, CSRF, ataki na poufność, inne typy ataków. Najbardziej krytyczne podatności aplikacji WEB. Wyszukiwanie podatności w aplikacjach web. Automatycznie wyszukiwanie podatności.

Ćwiczenia laboratoryjne obejmują: próby ataków na wybrane aplikacje web, z uwzględnieniem różnych scenariuszy. Zaimplementowanie metod poprawiających bezpieczeństwo aplikacji. Użycie oraz modyfikowanie standardowych narzędzi używanych do testowania bezpieczeństwa aplikacji web. Stworzenie prostego narzędzia do wykorzystywania podatności.

P-T-ASBO - 4. Uzyskiwanie i utrzymanie dostępu, bezpieczne oprogramowanie (3w+3c)

Narzędzia do wykorzystywania podatności (Metasploit Framework). Narzędzia do utrzymania dostępu. Ataki ukierunkowane na różne technologie. Bezpieczeństwo systemu Android. Pojęcia dekompilacji i zaciemniania kodu. Przykłady błędów w oprogramowaniu. 

Ćwiczenia laboratoryjne obejmują: Wykorzystanie podatności z użyciem dostępnych narzędzi (Metasploit Framework). Próbę stworzenia własnych skryptów do użycia na atakowanej maszynie.

P-T-ASBO - 5. Bezpieczeństwo środowiska serwerowego oraz usług sieciowych (3w+3c)

Bezpieczeństwo systemu operacyjnego (Linux). Utwardzanie systemu: konfiguracja systemu, prawa dostępu, techniki zapobiegania atakom, limitowanie zasobów, separacja procesów. Podstawowe podatności oprogramowania oraz błędy konfiguracji środowiska uruchomieniowego. Bezpieczeństwo środowisk wirtualizacji. Wykrywanie ataków oraz zapobieganie im.

Ćwiczenia laboratoryjne obejmują: Konfigurację środowiska serwerowego w celu poprawienia jego bezpieczeństwa. Praktyczne zastosowanie środków wykrywania oraz zapobiegania atakom.

P-T-ASBO-6. Kompleksowe testy penetracyjne (3w+3c)

Przykładowe testy bezpieczeństwa różnej gamy systemów. Kompleksowe testy bezpieczeństwa. Raportowanie. Rozwiązywanie przykładowych problemów oraz zadań. Analiza przypadków.

Ćwiczenia laboratoryjne obejmują: przeprowadzenie kompleksowych testów bezpieczeństwa.

Uzyskane umiejętności:

  • rozpoznawanie zagrożeń bezpieczeństwa związanych z konfiguracją sieci i zastosowanym oprogramowaniem,
  • zapoznanie się z metodami neutralizacji powyższych zagrożeń,
  • znajomość podstaw przeprowadzania testów bezpieczeństwa w środowisku sieciowym,
  • umiejętność obsługi oraz rozwijania narzędzi do przeprowadzania testów penetracyjnych,
  • opanowanie zasad procesu dokumentowania testów bezpieczeństwa.