Séance 1 : Introduction
- Module 1: Introduction et étude de cas
- Module 2: connaître les méthodes de test de sécurité
- Module 3: Sécurité des applications – Vue d’ensemble
Séance 2: Modélisation des menaces
- Objectif de modélisation des menaces
- Terminologies utilisées
- Profilage des menaces
- Modèle STRID
- Modèle DREAD
- Outils de modélisation de menace
Séance 3 : Compréhension de la configuration
- Utilisation du proxy d’application
- Web Burp Suite
Séance 4 : Mesures spécifiques DOT NET
- OWASP Top 10
- A1-Injection Authentification et gestion des sessions
- A2-Broken
- A3-Cross-Site Scripting (XSS)
- A4-Inseparables
- A5-Security Misconfiguration Exposition aux données sensibles
- A6 Contrôle d’accès
- A7-Missing
- A8-Cross-Site Request Forgery (CSRF)
- A9-Utilisation de composants a
- A10 – Redirections OWASP
- Abus de fonctionnalité
- Vulnérabilités du serveur
- Problèmes d’authentification et d’autorisation
- Vulnérabilités basées sur API / CMS
- WEB vers LAN
- Test de logique
- Attaques basées sur Flash
- IFrame Attacks
Séance 5 : Meilleures pratiques de sécurité du serveur Web (IIS)
- Scanner automatisé
- Balayage de profils
- Interprétation des résultats
- Identification de faux positifs
Séance 6 : Meilleures pratiques de sécurité de la base de données (MS SQL Server)
- Meilleures pratiques de gestion de session
- Problèmes d’authentification et d’autorisation CSRF Fixes
- Téléchargement de fichier sécurisé
- Prévenir les inclusions de fichiers
- Compréhension de la cryptographie Web.config Security
- Best Practices
- Gestion des erreurs et enregistrement
Séance 7 : Cycle de vie de développement sécurisé
Séance 8 : Meilleures pratiques de sécurité de la base de données (MS SQL Server)
Séance 9: Cycle de vie de développement sécurisé
- Outils SDL
- Binscope Binary
- Analyzer SDL
- Regex Fuzzer
- Outil d’analyse de code (CAT.NET)
- Minifuzzer File Fuzzer
Séance 10 : Test des services Web
- Équipe InfoSec du Développeur v / s
- Contrôles de vulnérabilité
- Intégration dans le processus de développement de logiciels
- Rapport de lecture
- Identification de faux positif
- Obtenir un ROI d’un SCA