Scalable and under control open cloud architecture
|
|
- Eleonora Malinowska
- 8 lat temu
- Przeglądów:
Transkrypt
1 Scalable and under control open cloud architecture considering security standards. Leszek Miś IT Security Architect RHCA,RHCSS,Sec+ Linux Polska Sp. z o.o. 1
2 #whoami 2 Leszek Miś: IT Security Architect RHCA/RHCSS/Sec+ Instruktor/egzaminator Red Hat Splunk Certified Architect Lider projektu WALLF Web Gateway Skupiam się głównie na: Linux/Web/Cloud Security SELinux/WAF/SSO IdM/Domena ilnuksow Pentesty
3 O firmie Linux Polska 3 Podstawowa działalność spółki: Wsparcie lokalne dla systemów Open Source Wdrożenia i migracje Bezpieczeństwo IT Szkolenia autoryzowane i autorskie
4 Agenda 4 Web (in)security OWASP Infrastructure as code Secure reverse Proxy
5 Web (in)security 5 Aplikacje webowe jako cel czyli zagrożenia kryją się wszędzie: Aplikacja Protokół Implementacja HTTP Język/Framework Konfiguracja System operacyjny
6 Web (in)security Rzeczywistość weryfikuje: Zimbra: priv_esc poprzez LFI: 6 /res/i18nmsg,ajxmsg,zmsg,zmmsg,ajxkeys,zmkeys,zdmsg,ajx%20templatemsg.js.zgz? v= &skin=../../../../../../../../../opt/zimbra/conf/localconfig.xml OSSIM: SQL Injection Apache Struts: RCE F5 BigIQ priv_esc JIRA: directory traversal Katello: users/update_roles I wiele, wiele innych...
7 Web (in)security 7 Problem z patchowaniem podatności: Wysoki koszt Kod źródłowy firmy zewnętrznej Ograniczony kontrakt/umowa Brak zasobów Brak skillsów SDLC -> TST->ACC->PROD Niedostępność aplikacji Inne?
8 Web (in)security 8 Cross Site Scripting ClickJacking SQL Injection MitB LDAP Injection Open Redirect XPATH Injection DOS/DDOS XML Injection Cross Site Request Forgery (CSRF) Blind SQLi Information/Path Dislosure Time based SQLi Encoding Remote Command Execution Server Side Includes Injection Local File Inlusion Bruteforce Remote File Inclusion Buffer overflow Session Hijacking Misconfiguration HTTP Response Spliiting Forced browsing Sniffing/Spoofing Drive by Download
9 OWASP 11
10 OWASP Open Web Application Security Project Misja: Poprawa stanu bezpieczeństwa aplikacji Make application security visible so that people and organizations can make informed decisions about true application security risk Projekty dokumentacja, narzędzia Edukacja Współpraca (rządy, inne organizacje, twórcy standardów) 12
11 Wybrane projekty OWASP DETECT PROTECT LIFE-CYCLE Documentation Top10 ASVS Testing Guide Code Review Guide Development Guide OpenSAMM Secure Coding Practices Quick Reference Tools WebScarab ESAPI WebGoat Zed Attack Proxy AppSensor Education Project JBroFuzz ModSecurity Core Ruleset 13
12 OWASP Top Zbiór 10 najistotniejszych, kluczowych błędów w zabezpieczeniach aplikacji internetowych: A1 Injection A2 Broken Auth and Session MGMT A3 XSS A4 Insecure Direct Object References A5 Security Misconfiguration A6 Sensitive Data Exposure A7 Missing Function Level Access Control A8 CSRF A9 Known vulns A10 Unvalidated Redirects and Forwards
13 OWASP ASVS Security Verification Standard Testing guide księga testów Appsensor WAF wszyty w appkę ESAPI Enterprise Security API Broken Web Application poligon 15
14 Infrastructure as code 16
15 Infrastructure as code 17 Problem dt. spójności infrastruktury: Na których systemach zmiana została wprowadzona? Czy pojawiła się na wszystkich systemach? Czy została zaaplikowana tylko na tych systemach na których było to niezbędne? Co z systemami, które w tym czasie były niedostępne? Co z nowymi systemami, które dodamy do naszej infrastruktury?
16 Infrastructure as code Zgodność ze standardami Powtarzalność: Weryfikacja: 18 enforcing Współdzielenie: kontrola wersji Gwarancja poprawności: skalowalność TST->ACC->PROD Aktualność konfiguracji: ready for audit
17 Infrastructure as code 19
18 Infrastructure as code 20 Abstrakcja-> Oczekiwany status: SSL Cipher list Error handling/output filtering Antibrute force mechanism Secure flags for cookies STIG compliance
19 Infrastructure as code <% -%> SecRuleEngine %> <% end -%> vhost.conf.erb: <%= scope.function_template(['wallf/apache/_secureheaders.er b']) -%> 21
20 Infrastructure as code 22 Antibrute force
21 Infrastructure as code 23 SSL
22 Infrastructure as code 24 SSL: Sslscan ssllabs
23 Infrastructure as code 25 Error Handling modsecurity_crs_50_outbound.conf
24 Infrastructure as code 26 Header manipulation: unset X-Powered-By unset Server set X-XSS-Protection: "1; mode=block"' set Header always set X-Frame-Options SAMEORIGIN
25 Infrastructure as code 27 Secure cookies: HttpOnly Secure Path=
26 Secure Web Gateway -> Open Source <- OWASP 29
27 Secure Web Gateway - co jest istotne? Hardened Linux distro Isolation HA Separation LB/Clustering Scalability WAF Monitoring SSL configuration Caching Access Control Performance tuning Change Mgmt 2FA Logging Mgmt Auditing Incident Response Mgmt 30
28 WAF 31 Architektura
29 WAF Fazy filtrowania: Każda transakcja przechodzi przez 5 faz filtrowania: 32 1: Request headers 2: Request body 3: Response headers 4: Response body 5: Logging
30 WAF Ochrona przed atakami i integracja z DAST (Arachni,ZAP) Filtrowanie żądań 0-day protection 34 Dynamiczne wstrzykiwanie - modyfikacja danych wychodzących w locie Wirtualne patchowanie
31 WAF 35 Wirtualny patch w uproszczonym przypadku: Ograniczenie Request_Body_Size Wykrywanie powtarzających się payloadów Ograniczenie ilości ARGS Weryfikacja/filtrowanie wartości ARGS Analiza i filtrowanie RESPONSE_BODY
32 WAF tryby pracy Negative security model: SecRule /owa/scriptname.asx chain, phase:1,block,log,msg:'xss na mojej appce' SecRule < > ( ) -- Positive security model: SecRule /owa/scriptname.asx chain, phase:1,block,log,msg:'xss na mojej appce' SecRule ARGS:parameter!@rx ^\w+$ 36
33 WAF 37 Przykładowe reguły: SecRule REQUEST_URI "id:152,log,deny" SecRule REQUEST_BODY "id:12345,log,deny" SecRule REQUEST_HEADERS:User-Agent WebZIP WebCopier Webster WebStripper... SiteSnagger CheeseBot" "id:166" SecRule ARGS:foo bar" "id:176"
34 WAF 38 Modsecurity to tylko silnik: Apache Nginx IIS Musimy go naładować : Tworzenie dedykowanych reguł od podstaw per aplikacja Wykorzystanie gotowych reguł OWASP CRS Hybryda czyli połączenie reguł CRS z własnymi regułami typu whitelist
35 WAF modsecurity CRS HTTP Protection - detecting violations of the HTTP protocol and a locally defined usage policy. Real-time Blacklist Lookups - utilizes 3rd Party IP Reputation HTTP Denial of Service Protections - defense against HTTP Flooding and Slow HTTP DoS Attacks. Common Web Attacks Protection - detecting common web application security attack. Automation Detection - Detecting bots, crawlers, scanners and other surface malicious activity. Integration with AV Scanning for File Uploads - detects malicious files uploaded through the web application. Tracking Sensitive Data - Tracks Credit Card usage and blocks leakages. Trojan Protection - Detecting access to Trojans horses. Identification of Application Defects - alerts on application misconfigurations. Error Detection and Hiding - Disguising error messages sent by the server. 39
36 WAF 40 Reguły OWASP CRS podzielone są na: base_rules experimental_rules optional_rules slr_rules Dostosowanie reguł CRS per aplikacja: SecRuleRemoveById SecRuleRemoveByMsg SecRuleRemoveByTag (Konsola)
37 WAF advanced HMAC Content Security Policy Webhoneypots LUA JSON/XML AV Scanning GEO/IP reputation BEEF czyli Attack the attacker: 41 Browser as Pentester's gateway
38 Podsumowanie WAF = ubezpieczenie Krytyczność reverse proxy Podejście devopsowe do zarządzania bezpieczeństwem WAF_Mgmt jako element Change_Mgmt Zasoby OWASP jako wzorce do naśladowania Open source Some people, wether vemdors or customers, believe in "auto learning mode". My experiance with such systems is that the (generated) rule set becomes unmanageable after a couple of time. - Achim Hoffman - OWASP 43
39 Dziękuję za uwagę. Leszek Miś IT Security Architect RHCA,RHCSS,Sec+ Linux Polska Sp. z o.o. 45
Modsecurity czy Twój WAF to potrafi? Leszek Miś Linux Polska Sp. z o.o.
Modsecurity czy Twój WAF to potrafi? Leszek Miś Linux Polska Sp. z o.o. CEL: Modsecurity jest cool! Agenda Modsecurity Wprowadzenie Architektura Funkcjonalność Filtrowanie komunikacji JSON Aktywacja mechanizmu
Bardziej szczegółowoKontekst jest najważniejszy Application Security (WALLF-ng) Leszek Miś Head of IT Security Department lm@linuxpolska.pl Linux Polska Sp. z o.o.
Kontekst jest najważniejszy Application Security (WALLF-ng) Leszek Miś Head of IT Security Department lm@linuxpolska.pl Linux Polska Sp. z o.o. 1 Fakty 2 Aplikacje webowe jako cel czyli zagrożenia kryją
Bardziej szczegółowoOpen(Source) Web Application Security Project
Open(Source) Web Application Security Project 2014-05-14 Wojciech Dworakowski, SecuRing Poland Chapter Leader Copyright The Foundation Permission is granted to copy, distribute and/or modify this document
Bardziej szczegółowoNarzędzia OWASP dla developerów OWASP ESAPI & AppSensor OWASP 2011-11-23. The OWASP Foundation http://www.owasp.org
Narzędzia dla developerów ESAPI & AppSensor 2011-11-23 Wojciech Dworakowski Poland Chapter Leader SecuRing wojciech.dworakowski@owasp.org +48506184550 Copyright The Foundation Permission is granted to
Bardziej szczegółowoBezpieczeństwo aplikacji internetowych. Rozwój napędzany potrzebą WALLF Web Gateway. Leszek Miś, RHCA,RHCSS,Sec+ Linux Polska Sp. z o.o.
Bezpieczeństwo aplikacji internetowych. Rozwój napędzany potrzebą Web Gateway. Leszek Miś, RHCA,RHCSS,Sec+ Linux Polska Sp. z o.o. Open Source Day 2013 O mnie Leszek Miś IT Security Architect RHCA/RHCSS
Bardziej szczegółowoPortal Security - ModSec Enterprise
Portal Security - ModSec Enterprise Leszek Miś Security Architect RHCA, RHCSS lm@linuxpolska.pl 1 O firmie Linux Polska Podstawowa działalność spółki: Wsparcie lokalne dla systemów Open Source Wdrożenia
Bardziej szczegółowoBezpieczeństwo aplikacji webowych - standardy, przewodniki i narzędzia OWASP OWASP 2012-04-19. The OWASP Foundation http://www.owasp.
Bezpieczeństwo aplikacji webowych - standardy, przewodniki i narzędzia 2012-04-19 Wojciech Dworakowski Poland Chapter Leader SecuRing wojciech.dworakowski@owasp.org Copyright The Foundation Permission
Bardziej szczegółowoBezpieczeństwo aplikacji Czy musi być aż tak źle? OWASP 2012-10-24. The OWASP Foundation http://www.owasp.org
Bezpieczeństwo aplikacji Czy musi być aż tak źle? 2012-10-24 Wojciech Dworakowski Poland Chapter Leader SecuRing Copyright The Foundation Permission is granted to copy, distribute and/or modify this document
Bardziej szczegółowoCzy Twój WAF to potrafi? modsecurity.
Czy Twój WAF to potrafi? modsecurity. Leszek Miś IT Security Architect RHCA, RHCSS lm@linuxpolska.pl 1 /whoami IT Security Architect @ Linux Polska Sp. z o.o. Lider projektu WALLF Web Gateway (http://wallf.pl)
Bardziej szczegółowoOWASP i Top 10 Sposób tworzenia Top 10 Czym jest a czym NIE jest Top 10? Zmiany w wersji 2013 Omówienie nowych podatności na liście Podsumowanie
OWASP i Top 10 Sposób tworzenia Top 10 Czym jest a czym NIE jest Top 10? Zmiany w wersji 2013 Omówienie nowych podatności na liście Podsumowanie ponad Top 10 Misja: Poprawa stanu bezpieczeństwa aplikacji
Bardziej szczegółowoAplikacje webowe na celowniku. Leszek Miś IT Security Architect RHCA,RHCSS,Sec+ Linux Polska Sp. z o.o. 1
Aplikacje webowe na celowniku. Leszek Miś IT Security Architect RHCA,RHCSS,Sec+ Linux Polska Sp. z o.o. 1 Fakty Złożona i rozbudowana architektura: błędy w kodzie błędy w konfiguracji błędy w założeniach
Bardziej szczegółowoAutomatyczne testowanie infrastruktury pod kątem bezpieczeństwa. Leszek Miś IT Security Architect RHCA,RHCSS,Sec+ Linux Polska Sp. z o.o.
Automatyczne testowanie infrastruktury pod kątem bezpieczeństwa. Leszek Miś IT Security Architect RHCA,RHCSS,Sec+ Linux Polska Sp. z o.o. 1 Fakty Są 3 rodzaje serwerów: Zabezpieczone Niezabezpieczone Podobno
Bardziej szczegółowoArchitektura bezpiecznych aplikacji internetowych na platformie Java Enterprise Edition. Jakub Grabowski Warszawa,
Architektura bezpiecznych aplikacji internetowych na platformie Java Enterprise Edition. Jakub Grabowski Warszawa, 2008-01-08 1 Agenda 1. Teza 2. Bezpieczeństwo aplikacji internetowych Usługi bezpieczeństwa
Bardziej szczegółowoApplication Security Verification Standard. Wojciech Dworakowski, SecuRing
Application Security Verification Standard Wojciech Dworakowski, SecuRing login: Wojciech Dworakowski OWASP Poland Chapter Leader OWASP = Open Web Application Security Project Cel: Podnoszenie świadomości
Bardziej szczegółowoBezpieczeństwo systemów internetowych
Bezpieczeństwo systemów internetowych AGENDA Podstawowe informacje o Risco Software Przewaga konkurencyjna Risco Software Przykładowe zrealizowane projekty Postrzeganie bezpieczeństwa systemów internetowych
Bardziej szczegółowoOWASP. The Open Web Application Security Project. OWASP Top 10 2010 rc1. Dziesięć najbardziej krytycznych zagrożeń w web aplikacjach
OWASP The Open Web Application Security Project OWASP Top 10 2010 rc1 Dziesięć najbardziej krytycznych zagrożeń w web aplikacjach Release Candidate 1 (tłum.+ zmiany: Michał Wiczyński, http://thinklikeninja.blogspot.com)
Bardziej szczegółowoBezpieczeństwo aplikacji internetowych
Bezpieczeństwo internetowych Marek Zachara http://marek.zachara.name 1/23 Aplikacje internetowe znajdują się pod ciągłym 'ostrzałem' Jest to wynikiem skali: ponad 3 mld użytkowników sieci 900 mln 'hostnames'
Bardziej szczegółowoTesty penetracyjne webaplikacji. piotr.konieczny@niebezpiecznik.pl
Testy penetracyjne webaplikacji piotr.konieczny@niebezpiecznik.pl niebezpiecznik.pl testujemy (web)aplikacje, ludzi i sieci komputerowe pod kątem odporności na ataki (nie tylko komputerowe...) doradzamy
Bardziej szczegółowoZakład Ubezpieczeń Społecznych Departament Zamówień Publicznych ul. Szamocka 3, 5, 01-748 Warszawa tel: 22 667 17 04, faks: 22 667 17 33
Zakład Ubezpieczeń Społecznych Departament Zamówień Publicznych ul. Szamocka 3, 5, 01-748 Warszawa tel: 22 667 17 04, faks: 22 667 17 33 993200/370/IN-429/2012 Warszawa, dnia 29.05.2012 r. Informacja dla
Bardziej szczegółowoAdvanced Internet Information Services Management (IIS 8)
Advanced Internet Information Services Management (IIS 8) Warsztat autorski Pauli Januszkiewicz (4 dni, 28 godzin lekcyjnych) Paula Januszkiewicz ekspert ds. bezpieczeństwa infrastruktury IT. Jako jedna
Bardziej szczegółowoWebapplication Security Pentest Service
Webapplication Security Pentest Service Usługa WSPS ma na celu odnalezienie w badanym serwisie internetowym luk bezpieczeństwa, umożliwiających osobom niepowołanym dostęp do danych serwisu internetowego,
Bardziej szczegółowoBezpieczeństwo aplikacji WWW. Klasyfikacja zgodna ze standardem OWASP. Zarządzanie podatnościami
Bezpieczeństwo aplikacji WWW Klasyfikacja zgodna ze standardem OWASP Zarządzanie podatnościami Tomasz Zawicki tomasz.zawicki@passus.com.pl Pojawianie się nowych podatności I. Identyfikacja podatności II.
Bardziej szczegółowoWarstwa ozonowa bezpieczeństwo ponad chmurami
Warstwa ozonowa bezpieczeństwo ponad chmurami Janusz Mierzejewski Presales consultant 27.09.2012 1 Agenda 2 : Szansa i wyzwanie Private Powinniśmy wykorzystać rozwiązania by reagować na potrzeby biznesu
Bardziej szczegółowoCYBEROAM Unified Treatment Management, Next Generation Firewall
CYBEROAM Unified Treatment Management, Next Generation Firewall Spis: 1. Cyberoam Technologies/portfolio 2. Funkcjonalności Cyberoam 3. Wyróżniki, przewagi na rynku 4. Interfejs i zarządzanie 5. Program
Bardziej szczegółowoINSTYTUT IMMUNOLOGII I TERAPII DOŚWIADCZALNEJ im. Ludwika Hirszfelda Polska Akademia Nauk
INSTYTUT IMMUNOLOGII I TERAPII DOŚWIADCZALNEJ im. Ludwika Hirszfelda Polska Akademia Nauk ul. Rudolfa Weigla 12, 53-114 Wrocław tel. / fax. (4871) 37-09-997, http://www.iitd.pan.wroc.pl NIP: 896-000-56-96;
Bardziej szczegółowoWeb Application Firewall - potrzeba, rozwiązania, kryteria ewaluacji.
Web Application Firewall - potrzeba, rozwiązania, kryteria ewaluacji a.klesnicki@gmail.com Potrzeba 75% udanych ataków z Internetu wykorzystuje dziury w aplikacja webowych Rozwiązania Jak możemy się chronić?
Bardziej szczegółowoMasterclass: Internet Information Services Management (IIS 8.5 / 8 / 7.5)
Masterclass: Internet Information Services Management (IIS 8.5 / 8 / 7.5) CQURE Academy (3 dni) Grzegorz Tworek (CQURE Academy) Grzegorz ma olbrzymie doświadczenie z tematyki: Virtualization, Security,
Bardziej szczegółowoTelCOMM Wymagania. Opracował: Piotr Owsianko Zatwierdził: IMIĘ I NAZWISKO
TelCOMM Wymagania Opracował: Piotr Owsianko 13-03-2017 Zatwierdził: IMIĘ I NAZWISKO DATA TEL-STER 2017 1. Wymagania serwera Do poprawnej pracy aplikacji potrzebny jest: - System operacyjny typu serwer
Bardziej szczegółowoAtaki na aplikacje WWW. Łomem, czy wytrychem? Jak dobrać się do aplikacji WWW
Ataki na aplikacje WWW Łomem, czy wytrychem? Jak dobrać się do aplikacji WWW Ataki na aplikację Ataki na przeglądarkę Ataki na serwer WWW/kontener, etc. Często kombinacja i wiele etapów Którędy do środka
Bardziej szczegółowoThe OWASP Foundation http://www.owasp.org. Session Management. Sławomir Rozbicki. slawek@rozbicki.eu
The OWASP Foundation http://www.owasp.org Session Management Sławomir Rozbicki slawek@rozbicki.eu 28-07-2011 OWASP TOP 10 A1: Injection A2: Cross-Site Scripting (XSS) A3: Broken Authentication and Session
Bardziej szczegółowoOWASP Day - Spring of Code 2k7 OWASP The OWASP Foundation
Day - Spring of Code 2k7 06.09.2007 Przemysław 'rezos' Skowron uczestnik Spring of Code 2007 przemyslaw.skowron@gmail.com Copyright The Foundation Permission is granted to copy, distribute and/or modify
Bardziej szczegółowoPraktyczne wykorzystanie mechanizmów zabezpieczeń w aplikacjach chmurowych na przykładzie MS Azure
Praktyczne wykorzystanie mechanizmów zabezpieczeń w aplikacjach chmurowych na przykładzie MS Azure Paweł Berus Zespół Bezpieczeństwa PCSS 36. Spotkanie Poznańskiej Grupy.NET Poznań, 13.10. 2011 1 Agenda
Bardziej szczegółowoCzy OMS Log Analytics potrafi mi pomóc?
"OMS, czyli Oh My Server..." Czy OMS Log Analytics potrafi mi pomóc? Łukasz Rutkowski MVP Reconnect, Senior Cloud Architect You won t find a better SCOM and OMS guy there, believe me, trust me. I m an
Bardziej szczegółowoStandard aplikacji WWW Urzędu Miasta Olsztyna
Standard aplikacji WWW Urzędu Miasta Olsztyna Dokument wydrukowany i nie podpisany jest dokumentem nienadzorowanym. Opracowali: Sprawdzili: Zatwierdzili: Mariola Iciak Andrzej Dziewit Rafał Ruchlewicz
Bardziej szczegółowoLuki w bezpieczeństwie aplikacji istotnym zagrożeniem dla infrastruktury krytycznej
Luki w bezpieczeństwie aplikacji istotnym zagrożeniem dla infrastruktury krytycznej Michał Kurek, Partner KPMG, Cyber Security Forum Bezpieczeństwo Sieci Technologicznych Konstancin-Jeziorna, 21 listopada
Bardziej szczegółowoOWASP OWASP. The OWASP Foundation http://www.owasp.org. Mariusz Burdach Prevenity www.prevenity.com mariusz.burdach@prevenity.com
09 10 2012 Mariusz Burdach Prevenity www.prevenity.com mariusz.burdach@prevenity.com Copyright The Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the
Bardziej szczegółowoDobre praktyki w doborze technologii rozwiązań informatycznych realizujących usługi publiczne
Dobre praktyki w doborze technologii rozwiązań informatycznych realizujących usługi publiczne Rafał Czubik Krzysztof Komorowski IBM 2008 IBM Corporation Metodyka jest ważna Procesy i moduły Obszary decyzyjne
Bardziej szczegółowoHosting WWW Bezpieczeństwo hostingu WWW. Dr Michał Tanaś (http://www.amu.edu.pl/~mtanas)
Hosting WWW Bezpieczeństwo hostingu WWW Dr Michał Tanaś (http://www.amu.edu.pl/~mtanas) Najgroźniejsze ataki na serwer WWW Najgroźniejsze ataki na serwer WWW Cross-site scripting (XSS) SQL injection Denial
Bardziej szczegółowoIntegracja istniejącej infrastruktury do nowego systemu konwersja protokołów
MOXA SOLUTION DAY 2016 Integracja istniejącej infrastruktury do nowego systemu konwersja protokołów Michał Łęcki 17/05/2016 Rozwiązania Przemysłowe Core Industrial Core Switch 10G Industrial Network Management
Bardziej szczegółowoAudyty bezpieczeństwa i zgodności oprogramowania Leszek Miś RHC{A,SS,X} Linux Polska Sp. z o.o.
Audyty bezpieczeństwa i zgodności oprogramowania Leszek Miś RHC{A,SS,X} Linux Polska Sp. z o.o. Kim jesteśmy, co oferujemy Nasza oferta usług: Rozszerzone wsparcie lokalne Projektowanie rozwiązań Migracje
Bardziej szczegółowoWybrane ataki na urządzenia sieciowe Secure 2013. Michał Sajdak, Securitum sekurak.pl
Wybrane ataki na urządzenia sieciowe Secure 2013 Michał Sajdak, Securitum sekurak.pl O mnie Realizuję testy penetracyjne / szkolę z bezpieczeństwa IT securitum.pl Założyciel portalu sekurak.pl 2 Agenda
Bardziej szczegółowoFuzzing OWASP 14.01.2010. The OWASP Foundation http://www.owasp.org. Piotr Łaskawiec J2EE Developer/Pentester
Fuzzing Piotr Łaskawiec J2EE Developer/Pentester 14.01.2010 Metrosoft (www.metrosoft.com) piotr.laskawiec@gmail.com Copyright The Foundation Permission is granted to copy, distribute and/or modify this
Bardziej szczegółowo4 Web Forms i ASP.NET...149 Web Forms...150 Programowanie Web Forms...150 Możliwości Web Forms...151 Przetwarzanie Web Forms...152
Wstęp...xv 1 Rozpoczynamy...1 Co to jest ASP.NET?...3 W jaki sposób ASP.NET pasuje do.net Framework...4 Co to jest.net Framework?...4 Czym są Active Server Pages (ASP)?...5 Ustawienia dla ASP.NET...7 Systemy
Bardziej szczegółowoObsługa incydentów bezpieczeństwa: część I, z punktu widzenia menadżera. OWASP 2010.03.17. The OWASP Foundation http://www.owasp.
Obsługa incydentów bezpieczeństwa: część I, z punktu widzenia menadżera. Przemysław Skowron OWASP Poland Leader OWASP 2010.03.17 Alior Bank S.A. przemyslaw.skowron@gmail.com Copyright The OWASP Foundation
Bardziej szczegółowo17-18 listopada, Warszawa
17-18 listopada, Warszawa Michał Kurek, OWASP Polska IoT na celowniku cyberprzestępców Czy jest ratunek? Agenda Czym jest IoT? Przyszłość IoT Czy IoT jest bezpieczne? Dlaczego NIE? Gdzie szukać pomocy?
Bardziej szczegółowoWybrane problemy bezpieczeństwa w urządzeniach sieciowych SEConference 2014. Michał Sajdak, Securitum sekurak.pl
Wybrane problemy bezpieczeństwa w urządzeniach sieciowych SEConference 2014 Michał Sajdak, Securitum sekurak.pl O mnie Realizuję pentesty / szkolę z bezpieczeństwa securitum.pl Założyciel sekurak.pl CISSP,
Bardziej szczegółowoNajskuteczniejsze sposoby zabezpieczania baz danych, w jaki sposób je monitorować oraz jak audytować
Najskuteczniejsze sposoby zabezpieczania baz danych, w jaki sposób je monitorować oraz jak audytować Bartosz Kryński Dział Usług Profesjonalnych, Clico Sp. z o.o. bartosz.krynski@clico.pl InfoTRAMS 1 Fusion
Bardziej szczegółowoKim jesteśmy? PCSS i MIC. Paweł Berus, Zespół Bezpieczeństwa PCSS
Kim jesteśmy? PCSS i MIC Paweł Berus, Zespół Bezpieczeństwa PCSS Konferencja IT Academic Day Poznań, 10.11.2011 1 PCSS Poznańskie Centrum Superkomputerowo-Sieciowe (1993) Operator sieci PIONIER oraz POZMAN
Bardziej szczegółowoDlaczego my? HARMONOGRAM SZKOLEŃ kwiecień - czerwiec ACTION Centrum Edukacyjne. Autoryzowane szkolenia. Promocje RODO / GDPR
ACTION Centrum Edukacyjne ACTION Centrum Edukacyjne oferuje najwyższej jakości szkolenia IT prowadzone przez najlepszych instruktorów w Polsce. Jako jedyny ośrodek szkoleniowy w Polsce posiada autoryzację
Bardziej szczegółowoWektory ataków vs. systemy zabezpieczeń. Sebastian Krystyniecki Systems Engineer Poland Ukraine Belarus. April 4, 2014
Wektory ataków vs. systemy zabezpieczeń Sebastian Krystyniecki Systems Engineer Poland Ukraine Belarus 1 April 4, 2014 2 Zagadka 3 Wskazówka - 19 stycznia 1986 4 Brain.A 5 Wirusy początki 6 cert.gov.pl
Bardziej szczegółowoDlaczego my? HARMONOGRAM SZKOLEŃ październik - grudzień ACTION Centrum Edukacyjne. Autoryzowane szkolenia. Promocje
ACTION Centrum Edukacyjne ACTION Centrum Edukacyjne oferuje najwyższej jakości szkolenia IT prowadzone przez najlepszych instruktorów w Polsce. Jako jedyny ośrodek szkoleniowy w Polsce posiada autoryzację
Bardziej szczegółowoKontrola dostępu do kodu i własności intelektualnej w Zintegrowanej Architekturze. Copyright 2012 Rockwell Automation, Inc. All rights reserved.
Kontrola dostępu do kodu i własności intelektualnej w Zintegrowanej Architekturze Rev 5058-CO900C 2 Agenda Co możemy zrobić aby chronić nasz system? Logix Security FactoryTalk Security Partners 3 Security
Bardziej szczegółowoPlatforma dostępności Veeam dla rozwiązań Microsoft. Mariusz Rybusiński Senior System Engineer Veeam Microsoft MVP
Platforma dostępności Veeam dla rozwiązań Microsoft Mariusz Rybusiński Senior System Engineer Veeam Microsoft MVP Private Cloud / On-Premises Private Cloud / On-Premises Veeam Cloud & Service Providers
Bardziej szczegółowoMasterclass: Advanced Internet Information Services Management (IIS 8.5 / 8 / 7.5)
Masterclass: Advanced Internet Information Services Management (IIS 8.5 / 8 / 7.5) Warsztat prowadzony przez Paulę Januszkiewicz (3 dni) ponad 20 egzaminów Microsoft. Paula Januszkiewicz Topowa prelegentka
Bardziej szczegółowoHARMONOGRAM SZKOLEŃ styczeń - marzec 2017
ACTION Centrum Edukacyjne ACTION Centrum Edukacyjne oferuje najwyższej jakości szkolenia IT prowadzone przez najlepszych instruktorów w Polsce. Jako jedyny ośrodek szkoleniowy w Polsce posiada autoryzację
Bardziej szczegółowoMarzena Kanclerz. Microsoft Channel Executive. Zachowanie ciągłości procesów biznesowych. z Windows Server 2012R2
Marzena Kanclerz Microsoft Channel Executive Zachowanie ciągłości procesów biznesowych z Windows Server 2012R2 Rejestracja urządzenia w usłudze Company Portal dająca dostęp do aplikacji firmowych
Bardziej szczegółowoOpis Przedmiotu Zamówienia na przeprowadzenie testów bezpieczeństwa systemu wspomagania nadzoru archiwalnego e-nadzór
S t r o n a ǀ 1 z 5 Załącznik nr 1 do zapytania ofertowego Opis Przedmiotu Zamówienia na przeprowadzenie testów bezpieczeństwa systemu wspomagania nadzoru archiwalnego e-nadzór I. Definicje. 1. Dostawca
Bardziej szczegółowoDlaczego my? HARMONOGRAM SZKOLEŃ lipiec - wrzesień ACTION Centrum Edukacyjne. Autoryzowane szkolenia. Promocje
ACTION Centrum Edukacyjne ACTION Centrum Edukacyjne oferuje najwyższej jakości szkolenia IT prowadzone przez najlepszych instruktorów w Polsce. Jako jedyny ośrodek szkoleniowy w Polsce posiada autoryzację
Bardziej szczegółowoProgram szkolenia: Bezpieczny kod - podstawy
Program szkolenia: Bezpieczny kod - podstawy Informacje: Nazwa: Kod: Kategoria: Grupa docelowa: Czas trwania: Forma: Bezpieczny kod - podstawy Arch-Sec-intro Bezpieczeństwo developerzy 3 dni 75% wykłady
Bardziej szczegółowoZabbix -Monitoring IT bez taśmy klejącej. Paweł Tomala Barcamp 15 czerwca 2015
Zabbix -Monitoring IT bez taśmy klejącej Paweł Tomala Barcamp 15 czerwca 2015 Agenda Czym jest Zabbix i po co nam to? Przegląd architektury i dostępnych funkcjonalności Wydajność systemu Scenariusze rozproszonego
Bardziej szczegółowoWojciech Dworakowski. Zabezpieczanie aplikacji. Firewalle aplikacyjne - internetowych
Firewalle aplikacyjne - Zabezpieczanie aplikacji internetowych Wojciech Dworakowski Agenda Dlaczego tradycyjne mechanizmy nie wystarczają? Wykorzystanie zaawansowanych firewalli Firewalle aplikacyjne architektura
Bardziej szczegółowoZagrożenia związane z udostępnianiem aplikacji w sieci Internet
Zagrożenia związane z udostępnianiem aplikacji w sieci Internet I Ogólnopolska Konferencja Informatyki Śledczej Katowice, 8-9 stycznia 2009 Michał Kurek, Aleksander Ludynia Cel prezentacji Wskazanie skali
Bardziej szczegółowoDlaczego my? HARMONOGRAM SZKOLEŃ kwiecień - czerwiec ACTION Centrum Edukacyjne. Autoryzowane szkolenia. Promocje
ACTION Centrum Edukacyjne ACTION Centrum Edukacyjne oferuje najwyższej jakości szkolenia IT prowadzone przez najlepszych instruktorów w Polsce. Jako jedyny ośrodek szkoleniowy w Polsce posiada autoryzację
Bardziej szczegółowoDrobne błędy w portalach WWW
Drobne błędy w portalach WWW Borys Łącki http://www.logicaltrust.net XIX Górska Szkoła Informatyki / Szczyrk, 23-26.06.2008 r. LogicalTrust wyizolowany departament bezpieczeństwa IT Business Consulting
Bardziej szczegółowoWeb Services. Bartłomiej Świercz. Łódź, 2 grudnia 2005 roku. Katedra Mikroelektroniki i Technik Informatycznych. Bartłomiej Świercz Web Services
Web Services Bartłomiej Świercz Katedra Mikroelektroniki i Technik Informatycznych Łódź, 2 grudnia 2005 roku Wstęp Oprogramowanie napisane w różnych językach i uruchomione na różnych platformach może wykorzystać
Bardziej szczegółowoVulnerability Management. Vulnerability Assessment. Greenbone GSM
Vulnerability Management. Zarządzanie bezpieczeństwem to proces, który musi być nieustannie zasilany wiedzą o aktualnym stanie bezpieczeństwa wszystkich systemów informatycznych organizacji. Wiedza ta
Bardziej szczegółowoKonfiguracja aplikacji ZyXEL Remote Security Client:
Połączenie IPSec VPN pomiędzy komputerem z zainstalowanym oprogramowaniem ZyWALL Remote Security Client, a urządzeniem serii ZyWALL. Przykład konfiguracji. Konfiguracja aplikacji ZyXEL Remote Security
Bardziej szczegółowoTechnologie internetowe ASP.NET Core. Paweł Rajba
Technologie internetowe ASP.NET Core Paweł Rajba pawel@cs.uni.wroc.pl http://itcourses.eu/ Plan wykładu Wprowadzenie Podstawowa aplikacja Usługi i middleware Obsługa błędów Request, Response, ciastka i
Bardziej szczegółowoWAF (Web Application Firewall)
WAF (Web Application Firewall) Mariusz Sawczuk mariusz.sawczuk@solidex.com.pl niezawodna komunikacja poufność danych bezpieczeństwo infrastruktury mobilność rozwiązań Ekspansja usług internetowych Coraz
Bardziej szczegółowoProgramowanie w Internecie
mariusz@math.uwb.edu.pl http://math.uwb.edu.pl/~mariusz Uniwersytet w Białymstoku 2018/2019 Co to jest Internet? Warunki zaliczenia Zaliczenie na podstawie opracowanej samodzielnie aplikacji WWW Zastosowane
Bardziej szczegółowoBezpieczeństwo IT z Open Source na nowo
Bezpieczeństwo IT z Open Source na nowo Nowy wspaniały (i pełen wyzwań) świat hybrydyzacji, konteneryzacji, definiowania software owego i data science Marek Najmajer Dyrektor Sprzedaży Linux Polska Trendy
Bardziej szczegółowoKATALOG SZKOLEŃ. Kod szkolenia Nazwa szkolenia Czas trwania. QC370 ALM Quality Center Scripting 11.x 2
Oprogramowanie HP KATALOG SZKOLEŃ Application Lifecycle Management ALM Development Management - QC QC370 ALM Quality Center Scripting 11.x 2 ALM920 Application Lifecycle Management 11.5 Delta 2 ALM120
Bardziej szczegółowoProgram szkolenia: REST i Microservices w PHP
Program szkolenia: REST i Microservices w PHP Informacje: Nazwa: Kod: Kategoria: Grupa docelowa: Czas trwania: Forma: REST i Microservices w PHP PHP-rest PHP developerzy 4 dni 50% wykłady / 50% warsztaty
Bardziej szczegółowoObrona przed SQL-injection w aplikacjach Java/JEE
Obrona przed SQL-injection w aplikacjach Java/JEE O mnie 13 lat doświadczenia w systemach WEB Developer, Technical Leader, Project Manager Java/JEE (ISC) 2 CISSP CTO w J-LABS O mnie Prywatnie: MTB MTB
Bardziej szczegółowoParametry wydajnościowe systemów internetowych. Tomasz Rak, KIA
Parametry wydajnościowe systemów internetowych Tomasz Rak, KIA 1 Agenda ISIROSO System internetowy (rodzaje badań, konstrukcja) Parametry wydajnościowe Testy środowiska eksperymentalnego Podsumowanie i
Bardziej szczegółowoWhy do I need a CSIRT?
Przemyslaw Jaroszewski CERT Polska Przemyslaw.Jaroszewski@cert.pl Przemyslaw.Jaroszewski@cert.pl Slide: 1 Why bother with security? (1) Security threats are real Windows server from the box has CodeRed
Bardziej szczegółowoGerard Frankowski, Zespół Bezpieczeństwa PCSS. Nowoczesne technologie bliżej nas Poznań, 04.03.2010
Bezpieczeństwo interoperacyjnego hostingu Gerard Frankowski, Zespół Bezpieczeństwa PCSS 4. Konferencja MIC Nowoczesne technologie bliżej nas Poznań, 04.03.2010 1 Agenda Wprowadzenie Zespół Bezpieczeństwa
Bardziej szczegółowo2. Zastosowanie standardu Wi-Fi w systemach AMR... 21
Spis treści Słowo wstępne... 9 1. PLC PRIME w systemach zdalnego odczytu... 11 1.1.. Wprowadzenie...12 1.2.. Charakterystyka PLC PRIME...12 1.3.. Warstwa fizyczna PLC PRIME...14 1.4.. Warstwa MAC PLC PRIME...14
Bardziej szczegółowoAnaliza skuteczności zabezpieczeń przed atakami na aplikacje Web
Opracował: dr inŝ. Mariusz Stawowski F5 Certified Product Consultant, ASM Email: mariusz.stawowski@clico.pl Zabezpieczenia sieciowe Firewall i Intrusion Prevention System (IPS) są podstawą do tworzenia
Bardziej szczegółowoSafe Hosting idea ultrabezpiecznego systemu hostingowego
Safe Hosting idea ultrabezpiecznego systemu hostingowego Agenda Wprowadzenie do tematyki Problemy z bezpieczeństwem systemów hostingowych Platforma Safe hosting analiza części składowych: SELinux + Multi
Bardziej szczegółowoIBM PureSystems Czy to naprawdę przełom w branży IT?
IBM PureSystems Czy to naprawdę przełom w branży IT? Krzysztof Rozanka Pure Systems, Poland & Baltics k.rozanka@pl.ibm.com kom. 693 93 51 42 IBM Polska 2 3 Zintegrowane systemy eksperckie 4 Infrastructure
Bardziej szczegółowoSecurity Master Class Secure Configuration Life Cycle. Marcin Piebiak Senior Solutions Architect Linux Polska Sp. z o.o.
Security Master Class Secure Configuration Life Cycle Marcin Piebiak Senior Solutions Architect Linux Polska Sp. z o.o. 1 Secure Configuration Life Cycle Wykorzystanie narzędzi do automatyzacji w procesie
Bardziej szczegółowoWykład 8. Temat: Hakerzy, wirusy i inne niebezpieczeństwa. Politechnika Gdańska, Inżynieria Biomedyczna. Przedmiot:
Wykład 8 Temat: Hakerzy, wirusy i inne niebezpieczeństwa 1 Kto to jest haker? haker, hacker [wym. haker] «osoba włamująca się do sieci i systemów komputerowych» Ale mamy także: cracker [wym. kraker], kraker
Bardziej szczegółowoSIP: Session Initiation Protocol. Krzysztof Kryniecki 16 marca 2010
SIP: Session Initiation Protocol Krzysztof Kryniecki 16 marca 2010 Wprowadzenie Zaaprobowany przez IETF w 1999 (RFC 2543) Zbudowany przez Mutli Parry Multimedia Session Control Working Group : MMUSIC Oficjalny
Bardziej szczegółowoOpis przedmiotu zamówienia. (zwany dalej OPZ )
Załącznik nr 1 do SIWZ Opis przedmiotu zamówienia (zwany dalej OPZ ) 1 Przedmiotem zamówienia jest wdrożenie rozwiązania do zarządzania podatnościami Vulnerability Management - VM (zwanego dalej Rozwiązaniem
Bardziej szczegółowoIT Security vs GameDev. IGK'8 2011, Siedlce / Poland
IT Security vs GameDev IGK'8 2011, Siedlce / Poland /usr/bin/whoami http://gynvael.coldwind.pl/ Plan Część I Różne definicje bezpieczeństwa Część II GameDev vs hacking o czym nie będzie... Część I Różne
Bardziej szczegółowoJak zabezpieczyć aplikacje przed włamaniami?
Jak zabezpieczyć aplikacje przed włamaniami? Analiza podejść do zapewnienia bezpieczeństwa oprogramowania za pomocą rozwiązania HP Fortify Yaroslav Popov / 14 kwietnia, 2015 Dlaczego aplikacje są najbardziej
Bardziej szczegółowoTerminarz Szkoleń ACTION CE
Terminarz Szkoleń ACTION CE Kod Nazwa szkolenia Czas trwania [h] Data rozpoczęcia W-wa Data rozpoczęcia Poznań Cena katalogow a netto* Cena netto w programie Rabatka** Systemy Operacyjne MS-20410 Installing
Bardziej szczegółowoPureSystems zautomatyzowane środowisko aplikacyjne. Emilia Smółko Software IT Architect
PureSystems zautomatyzowane środowisko aplikacyjne. Emilia Smółko Software IT Architect Wbudowana wiedza specjalistyczna Dopasowane do zadania Optymalizacja do aplikacji transakcyjnych Inteligentne Wzorce
Bardziej szczegółowoNowe produkty w ofercie Red Hat
Nowe produkty w ofercie Red Hat Bogumił Stoiński RHC{E,I,X} B2B Sp. z o.o. 519 130 155 bs@bel.pl sz Red Hat Enterprise Linux Red Hat Enterprise Linux 5.4 Nowe możliwości już dostępny dla wszystkich architektur:
Bardziej szczegółowoRozwiązania internetowe iplanet
Rozwiązania internetowe iplanet Grzegorz Blinowski "CC" - Otwarte Systemy Komputerowe Grzegorz.Blinowski@cc.com.pl http://www.cc.com.pl/ tel (22) 646-6873; faks (22) 606-3780 Prezentacja przygotowana przez
Bardziej szczegółowoJak znaleźć prawdziwe zagrożenia w infrastrukturze IT
Piotr Orlański Jak znaleźć prawdziwe zagrożenia w infrastrukturze IT Warszawa, 05/04/2016 www.compfort.pl Ryzyko Monitorowanie Wykrywanie Dynamika i zwinność Automatyzacja Czas Strona 1 Czy ważne zawsze
Bardziej szczegółowoAnatomy of an attack.. Cel: firma Aupticon Branża: technologie, R&D, self-driving cars
Anatomy of an attack.. Cel: firma Aupticon Branża: technologie, R&D, self-driving cars Firma Aupticon została zdestabilizowana, zaszyfrowano treści, wstrzymano systemy Ale zacznijmy od początku #1 Reconnaissance
Bardziej szczegółowoSzkolenia certyfikacyjne i biznesowe Red Hat i JBoss współpraca z Partnerami
Szkolenia certyfikacyjne i biznesowe Red Hat i JBoss współpraca z Partnerami Piotr Trando Dyrektor działu szkoleń i usług B2B Sp. z o.o. Konferencja Red Hat Partner Training 09. 2009 Warszawa, dnia 08.09.2009
Bardziej szczegółowoCollaborate more Budowa i utrzymanie taniej, wydajnej, bezpiecznej infrastruktury IT
Collaborate more Budowa i utrzymanie taniej, wydajnej, bezpiecznej infrastruktury IT Elżbieta Ceklarz Microsoft Sp. z o.o. Agenda i cel prezentacji Koszty a inwestycje w IT Zarządzanie desktopami Zarządzanie
Bardziej szczegółowoComplete Patch Management
Complete Patch Management Ukierunkowany, wiarygodny i wydajny Brief Secunia CSI Corporate Software Inspector Pozwól swojej organizacji przejąć kontrolę nad podatnościami oraz zoptymalizuj koszty inwestycji
Bardziej szczegółowoFrom OLAMP to enterprise e-commerce.
How to build, maintain and not to fail. PLNOG, 18-19/09/2008 Kraków, Marcin Mazurek Agenda Łańcuch pokarmowy. QXL Poland Sp. z o.o. Serwisy Ogłoszeniowe Serwisy Aukcyjne.pl Płatności.pl.cz.ro.hu.bg.sk.lt.ua
Bardziej szczegółowoSMART NETWORK SECURITY SOLUTIONS
SMART NETWORK SECURITY SOLUTIONS Network Behavioral Anomaly Detection Next Generation Firewalls Network Access Control & Rapid Threat Response Web Session Firewall Security Policy Audit & Risk Management
Bardziej szczegółowoIdentity Management w Red Hat Enterprise Portal Platform. Bolesław Dawidowicz
Identity Management w Red Hat Enterprise Portal Platform Związany z projektem GateIn (wcześniej JBoss Portal) od 2006r. Obecnie pełni rolę GateIn Portal Project Lead (razem z Julien Viet z exo) Odpowiedzialny
Bardziej szczegółowoMarek Pyka,PhD. Paulina Januszkiewicz
Marek Pyka,PhD Security Engineer Paulina Januszkiewicz Security Engineer Academy of Business in Dąbrowa Górnicza, POLAND prezentują [EN] Remote access mechanics as a source of threats to enterprise network
Bardziej szczegółowo