IT-Sicher­heit für Web­ent­wick­ler

Hochwertiger Code und gut funktionierende Software hört nicht bei der Erfüllung von funktionalen Anforderungen auf. Gerade Software, die über das Internet abrufbar ist, hat hohe Anforderungen hinsichtlich der Resistenz gegenüber Angriffen von Hackern. Neben System- und Netzwerkadministratoren sind aber gerade Webentwickler diejenigen, deren Verantwortung es ist, grundlegende Prinzipien der IT-Sicherheit umzusetzen und somit Angriffe, die Umsatzentgang, Datendiebstahl oder -Verlust oder Image-Schaden zur Folge haben, zu verhindern.

Dieses Wissen lernt man selten ausreichend in der Ausbildung zum Softwareentwickler. Ziel dieser Schulung ist es daher, umfassend auf die Sicherheits-Anforderungen des Entwickler-Alltags vorzubereiten, damit teilnehmende Entwickler nicht nur um die Gefahren Bescheid wissen, sondern in Zukunft selbstständig Sicherheitslücken erkennen und vermeiden können. Diese Schulung ist das Destillat eines IT-Security-Studiums, zig-tausend Seiten Fachliteratur, unzähligen Stunden Weiterbildung, sowie jahrzehntelanger Erfahrung in genau diesem Gebiet, heruntergebrochen auf die Anforderungen von Softwareentwicklern im Web. Sparen Sie Ihrem Team diese Zeit und lernen Sie in kürzestmöglicher Zeit alles was Sie zur täglichen Arbeit brauchen, um sichere Webanwendungen zu schreiben!
Die Themen werden verständlich erklärt bzw. demonstriert. Am Ende werden die umfassenden Inhalte auf ein paar wenige Prinzipien heruntergebrochen, die in der täglichen Entwicklerarbeit leicht zu berücksichtigen sind. Wenn Entwickler das Gelernte in ihrer Arbeit umsetzen, ist entstehender Code nahezu unhackbar.

Die Schulung wird von Georg Knabl gehalten. Er hat jahrelange Erfahrung als Webentwickler und IT-Security-Consultant, einen Masterabschluss in IT-Security, spricht auf Konferenzen über genau diese Themen, ist diplomierter Erwachsenentrainer und bildet an Hochschulen Softwareentwickler aus.

Dauer

Verschiedene Varianten möglich:

• zwei Tage (je sechs Stunden)
• drei Tage (je vier Stunden)

Ort

In Ihrer Stadt oder Ihrem Unternehmen als In-House-Schulung. Auch als reine Online-Veranstaltung möglich.

Teilnehmeranzahl

1 bis 10 Personen pro Schulungstermin (Wenn die gewünschte Anzahl größer ist, sind weitere Schulungstermine möglich.)

Inhalte & Ablauf

Die Inhalte der Schulung werden sowohl theoretisch, als auch praktisch erklärt und gezeigt. Teilnehmer haben die Möglichkeit, aktiv, ausgewählte Angriffe und Gegenmaßnahmen auszuprobieren. Folgende Inhalte werden behandelt:

• IT-Security Grundlagen inkl. Kryptografie-Crashkurs u.a. mit Hashing, Verschlüsselung, Encoding, HMAC, Zertifikate, Authentication & Authorization, wichtige Algorithmen & Prinzipien, Handeln bei entdeckten Angriffen uvm.
• Sicherheitskonzepte in Webanwendungen inkl. Same Origin Policy, Cookie-Sicherheit, HTTP-Sicherheit, richtiger Einsatz sicherheitsrelevanter HTTP-Header, Transportverschlüsselung, Umgang mit Captchas, Logging, Monitoring & Alerting, richtiger Einsatz der Two-Factor-Authentication, JWT, OAuth2, WebAuthn uvm.
• Praktische Anwendung der Sicherheitskonzepte z.B. wie man Datenintegrität sicher stellt, selbst wenn diese über unsichere Kanäle laufen, den Kommunikationsweg absichert, Anwendungen mehrstufig schützt, Passwörter sicher speichert und worauf man bei einer Authentifizierungs­implementierung oder beim Einsatz eines Web-Frameworks achten muss.
• Angriffe auf Webanwendungen inkl. Information Disclosure, Man-in-the-Middle Attacken, Brute-Forcing, Session-Hijacking, XSS, CSRF, Click-Jacking, diverse Injection-Attacken (z.B. SQL-Injection, Command-Injection, SMTP-Injection, Host-Header-Injection), Local & Remote File Inclusion, DoS, IP-Spoofing uvm.
• Absicherung von Webanwendungen im Zuge der vorgestellten Angriffsvektoren
• Einführung in das Prüfen auf Schwachstellen einer Webanwendung
• Sichere Softwareentwicklung inkl. Sicherheit im kompletten Software-Entwicklungszyklus, Architektur, Security Software Testing, Entwickler-Rechner sicher halten, Supply-Chain-Attacken verhindern, Bewertung von Sicherheits-Risiken, Tipps für den Entwickleralltag
• Der sichere Webserver als Einführung inkl. Datenübertragung, mehrstufiges Hardening und konkrete Software-Empfehlungen für Linux-Server

Zielgruppe & Voraussetzungen

Zielgruppe dieser Schulung sind Softwareentwickler, zu deren Aufgaben es zählt, Webapplikationen im Frontend (JavaScript, HTML) oder Backend (z.B. via Java, Python, PHP, node.js, C#, Ruby) umzusetzen. Dementsprechend betrifft dies auch Unternehmen, die diese Entwicklungsleistung am Markt anbieten oder in-house verwenden.

Folgende Voraussetzungen sollten gegeben sein:

• Teilnehmende Entwickler sollten Grundlagen der Basis-Webtechnologien insb. HTTP, HTML, JavaScript Basics, sowie idealerweise eine dynamische Backendsprache ihrer Wahl verstehen. Einsteiger-Niveau ist ausreichend. Auch reine Frontend- oder Backendentwickler können teilnehmen.
• Anwesenheit vor Ort oder via Online-Konferenz (bei dedizierter Online-Veranstaltung)
• Wenn der Wunsch besteht, aktiv im Code mitzuarbeiten oder etwas selbst auszuprobieren, ist evtl. ein Rechner mit vorinstallierter Software (wird vorab bekannt gegeben) erforderlich. Dies ist aber für den Lernerfolg nicht zwingend notwendig und daher optional.

Beispielcode liegt in JavaScript oder PHP vor. Da der Backend-Code sehr einfach gehalten ist und erklärt wird, sind keine speziellen PHP-Kenntnisse durch die Teilnehmer erforderlich.

Die Anforderungen an die Umgebung vor Ort sind simpel: Ein ruhiger Raum mit Tischen und Sitzgelegeheiten, sowie einem Beamer und funkbasierter Internetverbindung für alle.

Preis

Diese Schulung wird zum Fixpreis angeboten. Für Einzelpersonen bei Veranstaltungen in Städten wird der Preis bei Terminbekanntgabe veröffentlicht. Preis bei In-House-Schulungen auf Anfrage. Enthalten sind neben dem Termin an sich, die Präsentationsunterlagen und zusammenhängender Code.

Nächste Termine

Aktuell sind keine Termine geplant. Nutzen Sie unteres Formular, um uns Schulungswünsche an Ihrem Ort bekannt zu geben bzw. informiert zu werden. Selbstverständlich können Sie uns auch jederzeit für eine In-House- oder Online-Schulung in Ihrem Unternehmen buchen.