OWASP-10

We gaan in op wat de OWASP is, hoe deze opgebouwd is en welke waarde we eruit halen. Verder kijken we hoe we ons kunnen verdiepen in alle informatie die OWASP ons te bieden heeft en de logica achter de OWASP.

We behandelen wat Broken Access Control is, welke kwetsbaarheden er van toepassing zijn en welke aanvallen op deze kwetsbaarheden mogelijk zijn. Ook bekijken we hoe we deze kwetsbaarheden kunnen voorkomen.

Aanvallen die aan bod komen:

• Path & Directory Traversal
• IDOR Attacks
• CSRF
• URL & Insecure Redirects

We duiken in de toepassing van deze categorie, wat het exact inhoudt en waar de kwetsbaarheden liggen. We behandelen de security concepten zoals data-at-rest, data-in-transit en de toepassing op data. Hoe komen we tot welke data we echt moeten beschermen en waar zitten de kwetsbaarheden hierop. We bekijken aanvallen hoe er misbruik gemaakt kan worden van kwetsbaarheden en ook hoe we deze moeten voorkomen.

Aanvallen die aan bod komen zijn bijvoorbeeld:

• Sniffing
• Collision Attacks
• Rainbow Table Attacks
• Kraken van Hashes

We behandelen de inhoud en gevolgen van deze categorie. We kijken naar hoe de kwestbaarheden kunnen ontstaan, naar aanvallen hoe deze uitgebuit worden en ook weer hoe deze voorkomen kunnen worden.

Aanvallen die we in deze module behandelen zijn:

• SQL Injections
• Second Order Attacks
• XSS
• Command Injection

We leren in deze module hoe we vanaf de design fase een veilig product kunnen bouwen. We gaan kijken waar de kwetsbaarheden kunnen ontstaan en hoe we deze kunnen detecteren voordat er gecodeerd wordt. We behandelen beschermende maatregelen en organisatorische principes om dit te voorkomen.

We bespreken threat modeling en gaan actief aan de slag om in deze fase fouten te voorkomen.

Verder behandelen we ook de volgende aanvallen en technieken:

• File upload attacks
• Business Logic Attacks
• Threat Modeling

Een belangrijke categorie, waar enorm veel te winnen zonder de expertise direct zelf te hebben.

We behandelen de categorie en de mogelijke kwetsbaarheden die hier plaatsvinden. We bespreken hoe we expertise kunnen verkrijgen, zonder expert te zijn op elk gebied. We behandelen secure coding practices en security baselines.

Verder gaan we in op vulnerability en patch management en het toepassen van SDLC.

• Login attacks
• LFI met Filters

Deze categorie kijkt naar componenten die kwetsbaar zijn en/of verouderd met alle risico's die daarbij komen. We gaan dieper in op hoe we de processen moeten inrichten om dit te voorkomen. We bespreken de afhankelijkheden van software (libraries) en hoe we deze moeten managen.

Change Management, Configuration Management komen daarbij natuurlijk ook aan bod.

Als aanval in deze module bekijken we hoe eenvoudig het is om in te breken op een website met verouderde software.

• Vulnerability Exploitation
• Public Exploits
• Google Dorking

We bespreken de mechanismes van identificatie en authenticatie. Daarbij kijken we naar kwetsbaarheden op dit gebied en hoe we deze kunnen detecteren. We bespreken ook hier weer welke maatregelen die we moeten treffen om dit veilig te maken.

We kijken naar diverse aanvallen zoals:

• Credential Stuffing
• Session Hijacking
• Brute Force Attacks

We bespreken de toepassing van integriteit en hoe we de integriteit kunnen waarborgen. We duiken in cryptografie, waarbij we kijken naar symmetrische, asymmetrische cryptografie. Daarbij bespreken we de functie van hashing en digital signatures en hoe deze bijdragen aan het veilig maken en valideren van de integriteit van data. Daarnaast bekijken we ook hoe de CA in dit geheel een belangrijke rol speelt.

De cursist zal inhoudelijk de werking van cryptografie begrijpen.

We zullen de diepte in gaan op de volgende items:

• Symmetric Encryption
• Asymmetric Encryption
• Hashing en Digital Signatures

We besproken de risico's van logging en de kwetsbaarheden wanneer de logging niet goed wordt opgezet. Ook wanneer logging niet gevalideerd wordt kan dit leiden tot diverse aanvallen waar misbruik van gemaakt kan worden. Er wordt gekeken naar de best practices en hoe we logging op een correcte manier kunnen inrichten en beveiligen.

In deze module behandelen we de volgende aanval:

• Log Poisoning

Normaal zouden servers geen enkel request geforceerd vanuit een client mogen uitvoeren, behalve wat bedoeld is. In deze module bespreken we hoe een aanvaller misbruik kan maken van functies om diverse aanvallen uit te voeren. Uiteraard wordt ook besproken hoe we dit voorkomen en bespreken we de volgende aanvallen:

• Van SQL Injections naar NBT-Poisoning

In deze module nemen we de cursist mee op jacht naar kwetsbaarheden in een website en zullen we in samenwerking met de cursisten het model uitwerken van de website en bespreken we welke security oplossingen we moeten implementeren om dit veilig te maken.

We creëren in deze setting een eigen blue en red team om vanuit beide perspectieven naar security te kijken.