7.1 KiB
M183 Applikationssicherheit implementieren
Inhaltsverzeichnis
[TOC]
weitere TBZ Unterlagen -> https://gitlab.com/ch-tbz-it/Stud/m183/m183
Themenüberblick
Leistungsbeurteilungen (Prüfungen)
- LB1 (40%) Vortrag OWASP (20 min pro Person)
- LB2 (60%) Auftrag Penetrationstesting als Projektarbeit - Sicherheitsumsetzung in einer Applikation
Ablaufplan 2024-Q2 (Mi morgens)
| Tag | WUP23 | Thema, Auftrag, Übung |
|---|---|---|
| 1 | Mi 13.11.24 | Themeneinstieg, Schutzziele 'Open Web Applicaiton Security Project' (OWASP), https://owasp.org, Top 10 ✍ LB1: Auftrag |
| 2 | Mi 20.11.24 | LB1: OWASP Auftrag (Fortsetzung) |
| 3 | Mi 27.11.24 | LB1: OWASP Auftrag (Fortsetzung) |
| 4 | Mi 04.12.24 | LB1: Vorträge Teil 1 Theorie Sessionhandling und individuelle Vertiefung ✍ Auftrag Was ist Penetrationstesting IBM, Wikipedia ✍ LB2: Auftrag Penetrationtesting -> Umsetzung in einer Applikation |
| 5 | Mi 11.12.24 | LB1: Vorträge Teil 2 Theorie Benutzerauthentifizierung und -autorisierung Weiterarbeit Penetrationtesting |
| 6 | Mi 18.12.24 | Repetition Kryptographie (Symmetrische und asymmetrische Verschlüsselung, Hash-Methoden und digitale Signaturen) Weiterarbeit Penetrationtesting |
| - | -- | Weihnachtsferien |
| 7 | Mi 08.01.25 | Logging & Monitoring Weiterarbeit Penetrationtesting |
| 8 | Mi 15.01.25 | Weiterarbeit Penetrationtesting |
| - | -- | WUP-Proj-Woche |
| - | -- | Abgabe online zusammen mit M323 gemäss Terminliste |
LB1: OWASP Top Ten Project (Gruppenarbeit)
Rahmenbedingungen
Das Open Web Applicaiton Security Project (OWASP) ist eine weltweite non-Profit Organisation, die sich zum Ziel setzt, Qualität und Sicherheit von Software zu verbessern. Es ist das Ziel, Entwickler, Designer, Softwarearchitekten für potenzielle Schwachstellen zu sensibilisieren und aufzuzeigen, wie sich diese vermeiden lassen. Die folgenden „OWASP Top Ten“ stellen unter Web-Sicherheitsexperten einen aner-kannten Konsens dar, was die derzeit kritischen Lücken in Web-Anwendungen betrifft (stand 2021):
- A01:2021 – Broken Access Control
- A02:2021 – Cryptographic Failures
- A03:2021 – Injection
- A04:2021 – Insecure Design
- A05:2021 – Security Misconfiguration
- A06:2021 – Vulnerable and Outdated Components
- A07:2021 – Identification and Authentication Failures
- A08:2021 – Software and Data Integrity Failures
- A09:2021 – Security Logging and Monitoring Failures
- A10:2021 – Server-Side Request Forgery (SSRF)
Auftrag
- Wählen Sie OWASP Top 10 Themen aus (Anzahl Gruppenmitglieder = Anzahl zu wählender Themen), die Sie in diesem Auftrag bearbeiten möchten (jedes Thema muss von der Klasse mind. einmal ausgearbeitet werden!)
- Analysieren Sie die ausgewählten Themen mit Hilfe der OWASP-Seite https://owasp.org/Top10/ (und allfälligen weiterführenden Quellen / Internetrecherche)
- Erklären Sie in eigenen Worten, was sich hinter der Abkürzung CWE versteckt und wie CWE mit den OWASP Top 10 zusammenhängen.
- Beschreiben Sie den Unterschied der OWASP Top 10 Risk und OWASP Proactive Control (https://owasp.org/www-project-proactive-controls/)
- Die ausgewählten Themen werden wie folgt ausgearbeitet:
- Beschreibung der theoretischen Hintergründe und der Bedrohung sowie mögliche Folgen
- Schwachstelle mit konkretem Codebeispiel vorstellen und erläutern
- Massnahme wie die Sicherheitslücke geschlossen werden kann, an einem konkreten Codebeispiel
- Abgabe von Dokumentation und Code Beispiele via Teams-Aufgabe
Inhalt der Dokumentation
- Überblick
- Erläuterungen zu Aufgabe 3 und 4
- Theoretische Hintergründe
- Schwachstelle mit Codebeispiel
- Massnahme mit Codebeispiel
- Resultate, Erkenntnisse
- Hinweise auf weitere Unterlagen, Übungen, Tutorien (inkl. verwendeter Quellen)
Zeitrahmen
Als Vorbereitung stehen 7 Lektionen während der Schule zur Verfügung. Die Vorstellung soll die Problemstellung (Angriffspunkt, Auswirkung, Technologie) und Lösung (Technologie und sinnvolle Gegenmassnahmen) anhand von praktischen Beispielen (Live Demo der Codebeispiele – keine PowerPoint), aufzeigen. Die Live Demo darf pro Thema maximal 7 Min dauern und ist in Standardsprache zu halten.
Resultat
- Vollständiger schriftlicher Theorie Teil mit praktischen Code-Beispielen.
- Live Demo anhand von Beispielen von Sicherheitslücken und geeignete OWASP Gegenmassnahmen.
Termine, Abgabe
Die konkreten Termine und Abgabemodalitäten werden durch die Lehrperson für jede Moduldurchführung individuell festgelegt und entsprechend kommuniziert.