iSAQB CPSA-A WEBSEC

Beschreibung

Durch die Teilnahme an der iSAQB® CPSA-A Web Security (WEBSEC) Schulung erhalten Teilnehmende 20 Kompetenzpunkte im Bereich Technische Kompetenz (TC) und 10 Kompetenzpunkte im Bereich Methodische Kompetenz (MC). Diese Punkte werden auf die 70 Punkte angerechnet, die für die Zulassung zur iSAQB CPSA-A-Prüfung bei Brightest erforderlich sind. Dabei ist zu beachten, dass Sie im Rahmen der 70 Punkte, die für die Teilnahme an der iSAQB CPSA-A-Prüfung bei Brightest erforderlich sind, mindestens zehn Kompetenzpunkte in jedem der folgenden Bereiche benötigen: 

• Technische Kompetenz (TC)
• Methodische Kompetenz (MC)
• Kommunikative Kompetenz (CC)

Die akkreditierte iSAQB® WEBSEC - Web Security (CPSA-A) Schulung basiert auf dem aktuellen iSAQB® Lehrplan:

Teil 1 - Analyse

• Risiken und Modelle
• Die grundlegenden Schutzziele
• Assets-Identifikation und Zugriffskonzepte
• Kriterien zur Abnahme und Audit identifizieren
• Abwägung von Sicherheit gegenüber anderen Qualitätsmerkmalen
• Verständnis für Sicherheit als Prozess, nicht als einzelne Maßnahme
• Verständnis für Sicherheit als Verantwortlichkeit aller Beteiligten 
• Gängige Richtlinien, Standards und Empfehlungen kennen
• Gängige Klassifizierungssysteme für Sicherheitsprobleme kennen
• Gängige Zertifizierungen einordnen

Teil 2 - Sicherer Entwurfs- und Entwicklungsprozess

• Grundkonzept „Validierung aller Eingaben und Escaping aller Ausgaben“
• Prinzip Security-Gates, Review und „Trust-No-One“
• Indikatoren für sicheres Applikationsdesign
• Grundlegende Pattern für „Secure Coding Guidelines“
• Inhalte eines sicheren Entwicklungsprozesses und Beispielframeworks
• Zugriffskonzepte auf Systemlandschaft, Artefakte und Quellcode
• Hilfsmittel und Infrastrukturkomponenten zur Unterstützung des sicheren Entwicklungsprozesses
• Abgrenzung der Analysemethoden
• Incident Management

Teil 3 - Kryptographie

• Grundbegriffe der Kryptographie
• Hashing
• Verschlüsselungsverfahren
• Vertrauenskonzepte
• Praktischer Einsatz

Teil 4 -  Web: Technische Grundlagen

• Gängige „Good Practices“
• Authentifizierungsarten
• „Security through Obscurity“-Schutzmaßnahmen
• Sicherheitsrelevante Protokolle (beispielsweise TLS) 
• Gängige Autorisierungskonzepte und relevante Implementierungen
• Unterstützende Werkzeuge

Teil 5 -  Web: Bekannte Angriffe und Angriffsvektoren

• Angriffsvektoren und Einordnung
• Spezielle Gefahren von Social Engineering bei Web-Anwendungen
• Injection-Angriffe
• Bedeutung und Funktionsweise von Denial-of-Service-(DoS-) und Distributed-Denial-of-Service-(DDoS-)Angriffen
• Angriffe über die Laufzeitumgebung/Applikationsplattform
• Auffinden von Sicherheitslücken über Fuzzing
• Man-in-the-Middle-Angriffe
• Wichtige Quellen über aktuelle Bedrohungen und Angriffe

Teil 6 - Web: Security und Infrastruktur

• Funktion, Arbeitsweise und Prozesse von Firewalls
• Web Application Firewalls
• Intrusion-Detection-/Prevention-Systeme
• Validierung durch Feedback aus dem Betrieb
• Einsatz von Transport Layer Security (TLS)