IT-Sicherheit für Webentwickler

Einführung in die IT-Security

• CIA-Modell
• Cyber Kill Chain
• Hacker und was sie antreibt
• IT Security Frameworks (u. a. OWASP Top 10, OWASP ASVS, MITRE ATT&CK, BSI IT-Grundschutz)
• IT-Sicherheitsarchitekturen
• Vulnerability Management
• Threat Modelling (z. B. STRIDE)
• Risk Management
• Cyber Threat Intelligence
• Incident Management
• CVSS verstehen und anwenden

Grundlagen Linux und Netzwerkprotokolle

• Linux Penetration Testing Distributionen (Kali, Parrot, Black Arch)
• Verstehen und Analysieren von Netzwerkprotokollen
• Encryption (Symmetrisch, Asymmetrisch, TLS)
• Konfiguration von Werkzeugen, um Webapplikationen auf Schwachstellen zu untersuchen und anzugreifen

Informationsbeschaffung und Port Scanning

• Google Hacking / Google Dorks
• Shodan
• Maltego
• OSINT-Techniken im Überblick
• Einführung in Nmap und Burp Suite

Durchführung und Abwehr von Angriffen auf Web-Applikationen gemäß OWASP Top 10

• Brute-Force-Attacks
• Attacking MFA (Multi-Faktor-Authentifizierung)
• IDOR – Insecure Direct Object Reference
• Broken Access Controls
• Local File Inclusion (LFI)
• Remote File Inclusions (RFI)
• SQL Injection Attacks
• Cross-Site-Scripting (XSS)
• Server-Side Template Injection (SSTI)
• XML External Entity Injection (XXE)
• Attacking File Uploads
• Cross-Site Request Forgery (CSRF)
• Server-Side Request Forgery (SSRF)
• Denial-of-Service (DoS / DDoS)
• Security Misconfiguration & Hardening-Maßnahmen
• Sichere Authentifizierung, Session-Management und Logging

Für eine optimale Teilnahme am Kurs empfehlen wir folgende Vorkenntnisse:

• Grundlagen Netzwerktechnik (TCP/IP, HTTP/HTTPS)
• Grundkenntnisse mit Windows und Linux Betriebssystemen
• Erste Erfahrungen in der Programmierung von Web-Applikationen
• Grundverständnis für Datenbanken und SQL ist hilfreich, aber nicht zwingend erforderlich

• Software-Entwickler
• System Administratoren
• Netzwerk Administratoren
• DevOps- und Security-Engineers
• IT-Verantwortliche und Projektleiter mit Security-Bezug