iSAQB CPSA-A WEBSEC

Опис

Участь у курсі iSAQB® CPSA-A Web Security (WEBSEC) дає учасникам 20 балів за технічну компетентність (TC) та 10 балів за методологічну компетентність (MC) у межах 70 балів, необхідних для допуску до складання іспиту iSAQB CPSA-A в Brightest. Важливо пам’ятати, що в межах 70 балів, необхідних для складання іспиту iSAQB CPSA-A в Brightest, потрібно набрати щонайменше десять балів компетентності в кожній із таких областей: 

• Технічна компетентність (TC)
• Методологічна компетентність (MC)
• Комунікативна компетентність (CC)

Акредитований курс iSAQB® WEBSEC - Web Security (CPSA-A) базується на актуальній навчальній програмі iSAQB®:

Частина 1 - Аналіз веббезпеки

• Ризики та моделі
• Основні цілі безпеки
• Ідентифікація активів і концепції доступу
• Визначення критеріїв приймання та аудиту
• Пошук компромісів між безпекою та іншими характеристиками якості
• Розуміння безпеки як процесу, а не як окремого заходу
• Розуміння безпеки як відповідальності всіх зацікавлених сторін 
• Знання поширених настанов, стандартів і рекомендацій
• Знання поширених систем класифікації проблем безпеки
• Класифікація поширених сертифікацій

Частина 2 - Безпечне проєктування та процес розробки

• Концепція "валідації всіх вхідних даних та екранування всіх вихідних даних"
• Принцип контрольних точок безпеки, перевірок і "нікому не довіряй"
• Ознаки безпечного проєктування застосунків
• Базові шаблони для настанов із безпечного програмування
• Зміст безпечного процесу розробки та приклад фреймворку
• Концепції доступу для системного середовища, артефактів і вихідного коду
• Інструменти та компоненти інфраструктури, що підтримують безпечний процес розробки
• Розмежування аналітичних методів
• Управління інцидентами

Частина 3 - Криптографія

• Основи криптографії
• Хешування
• Методи шифрування
• Концепції довіри
• Практичне застосування

Частина 4 -  Веб: технічні основи

• Поширені "хороші практики"
• Типи автентифікації
• Заходи безпеки на основі принципу "безпека через приховування"
• Протоколи, пов’язані з безпекою (наприклад, TLS) 
• Поширені концепції авторизації та відповідні реалізації
• Допоміжні інструменти

Частина 5 -  Веб: відомі атаки та вектори атак

• Вектори атак та їх класифікація
• Специфічні ризики соціальної інженерії у вебзастосунках
• Ін’єкційні атаки
• Значення та принцип дії атак типу відмова в обслуговуванні (DoS) і розподілена відмова в обслуговуванні (DDoS)
• Атаки через середовище виконання або платформу застосунку
• Виявлення вразливостей безпеки за допомогою фаззингу
• Атаки типу "людина посередині"
• Важливі джерела інформації про актуальні загрози та атаки

Частина 6 - Веб: безпека та інфраструктура

• Функції, принцип роботи та процеси міжмережевих екранів
• Міжмережеві екрани вебзастосунків
• Системи виявлення / запобігання вторгненням
• Валідація з урахуванням зворотного зв’язку від експлуатації
• Використання Transport Layer Security (TLS)