Secure Coding mit Java EE_Entwicklung einbruchssicherer Webanwendungen unter Java EE

Webanwendungen werden in Unternehmen zunehmend für die Abbildung kritischer Geschäftsprozesse eingesetzt. Dabei werden über das Webportal eine Vielzahl von Diensten für Kunden und Lieferanten bereitgestellt. Die Sicherheit von Webanwendungen gewinnt daher zunehmen an Bedeutung.

Anwendungssicherheit wird allerdings häufig vor allem mit den Themen Authentisierung, Autorisierung und Verschlüsselung in Verbindung gebracht. Dabei lassen sich jedoch heutige Angriffe auf Webanwendungen vielfach auf Fehler in der Datenvalidierung oder im Session Management zurückführen.

In diesem Seminar vermittelt der Referent der Zielgruppe das Wissen, um Webanwendungen nachhaltig sicher zu entwickeln:

• Wie Angriffe gegen Webanwendungen durchgeführt werden 
• Wie sich Fehler in der Implementierungs- und Entwurfphase vermeiden lassen
• Wie sich Schwachstellen in Javacode identifizieren lassen 
• Sicheres Deployment - Absicherung vorhandener Anwendungen mit minimalem Aufwand  
• Anwendung Java Security APIs, Frameworks und Tools

Dieses Seminar setzt dabei auf anerkannte Best Practices und langjährige Erfahrungen in diesem Bereich auf. Es kann dabei auf spezifische Wünsche der Seminarteilnehmer eingegangen werden.
 

Seminarinhalt

Der Inhalt orientiert sich an den in der OWASP Top Ten gelisteten Schwachstellen, beschränkt sich jedoch nicht nur darauf.

• Generelle Probleme von Internet Architekturen
  • Das http-Protokoll
  • Session Managment & Cookies
  • Enkodierungen

• Ausnutzung von Schwachstellen in Java Code
  • Wie werden Schwachstellen wie Cross-Site Scripting (XSS), SQL-Injection, Session Riding (CSRF), Privilege Escalation und viele weitere von Angreifern ausgenutzt?
  • Welche Konsequenzen ergeben sich daraus für die Entwicklung?

• Entwicklung sicher Webanwendungen unter Java EE
  • Prinzipien sicherer Anwendungsentwicklung
  • Eingabe- und Ausgabevalidierung
  • Authentisierung
  • Session Management
  • Access Controls
  • Einsatz von Kryptographie
  • Fehlerbehandlung und Logging
  • Absicherung der Bussiness Logik

• Auditierung von Javacode
  • Vorgehensweise bei semi-automatischer Source Code Analyse

• Weitere Kursinhalte
  • Sicherheit in Software-Entwicklungsprozessen
  • Software Security Development Lifecycle (SDLC)
  • Architektur & Deploymentstragegien
  • Einsatz von MVC-Frameworks (z.B. Struts, Spring MVC)

Der Referent: Mirko Richter, SecureNet GmbH