C/C++ Secure Coding Training Cursus

Deze training onder leiding van een docent in Nederland (online of op locatie) is bedoeld voor ontwikkelaars die geavanceerde C++-programmeermethoden willen gebruiken om complexe, veilige en hoogperformante systemen en applicaties te creëren.

Na afloop van deze training zullen deelnemers kunnen:

• Een ontwikkelomgeving opzetten waarin alle relevante C++-bibliotheken, pakketten en frameworks aanwezig zijn.
• De eigenschappen, componenten en basisprincipes van C++ begrijpen.
• Complexe C++-applicaties ontwikkelen met behulp van geavanceerde programmeertechnieken.
• Inzicht krijgen in het schrijven van leesbare, snelle en veilige code in C++.
• De veelvoorkomende beveiligingsproblemen in C++ herkennen en oplossingen kennen.
• Teststrategieën implementeren om de kwaliteit en veiligheid van code te waarborgen.
• Diagnose- en debuggeerinstrumenten binnen C++-ontwikkeling effectief benutten.

Het implementeren van een beveiligde netwerkapplicatie kan lastig zijn, zelfs voor ontwikkelaars die eerder met verschillende cryptografische elementen (zoals versleuteling en digitale handtekeningen) hebben gewerkt. Om deelnemers vertrouwd te maken met het nut en gebruik van deze cryptografische bouwstenen, wordt eerst een solide basis gelegd wat betreft de belangrijkste vereisten voor veilige communicatie: betrouwbare bevestiging, integriteit, vertrouwelijkheid, verificatie op afstand en anonimiteit. Ook worden typische problemen beschreven die deze eisen kunnen ondermijnen, samen met praktijkgerichte oplossingen.

Aangezien cryptografie een essentieel onderdeel is van netwerkbeveiliging, wordt er aandacht besteed aan de belangrijkste algoritmen binnen symmetrische en asymmetrische versleuteling, hashing en sleutelafstemming. In plaats van diepgaande wiskundige uitleg te geven, worden deze onderwerpen benaderd vanuit een ontwikkelaarsperspectief, inclusief voorbeeldtoepassingen en praktische aandachtspunten zoals de inzet van publieke sleutelinfrastructuren. Verder komen veiligheidsprotocollen uit verschillende domeinen aan bod, met een uitgebreide bespreking van de meest gangbare protocollen als IPSEC en SSL/TLS.

Ook worden veelvoorkomende kwetsbaarheden in cryptografische systemen besproken; zowel die gerelateerd aan specifieke algoritmen en protocollen – zoals BEAST, CRIME, TIME, BREACH, FREAK, Logjam, Padding oracle, Lucky Thirteen, POODLE en soortgelijke – als de timing-aanvallen op RSA. Voor elk probleem worden praktische gevolgen en implicaties geschetst, zonder wiskundige details te behandelen.

Tot slot wordt er aandacht besteed aan de beveiliging van XML, dat veel wordt gebruikt voor data-uitwisseling tussen netwerkapplicaties. Hierbij komen het gebruik van XML binnen webdiensten en SOAP-berichten aan bod, evenals beschermingsmechanismen zoals XML-handtekeningen en versleuteling. Ook worden de beperkingen hiervan behandeld samen met specifieke beveiligingsrisico’s, waaronder XML-injectie, aanvallen via externe XML-entiteiten (XXE), zogenaamde XML-bommen en XPath-injectie.

Deelnemers aan deze cursus zullen

• Basisconcepten van beveiliging, IT-beveiliging en veilige coderen begrijpen
• De eisen voor veilige communicatie kennen
• Inzicht krijgen in netwerkaanvallen en verdedigingsmaatregelen op diverse OSI-lagen
• Een praktische kennis van cryptografie ontwikkelen
• De belangrijkste beveiligingsprotocollen begrijpen
• Recente aanvallen op cryptosystemen leren herkennen
• Informatie verkrijgen over recent ontdekte kwetsbaarheden
• Basisprincipes van beveiliging bij webdiensten begrijpen
• Bronnen en aanvullende literatuur over veilige codeerpraktijken vinden

Doelgroep

Ontwikkelaars, professionals

Ook ervaren Java-programmeurs beheersen lang niet altijd alle beveiligingsfuncties die Java biedt, en zijn zich evenmin bewust van de verschillende kwetsbaarheden die relevant zijn voor webapplicaties in Java.

In deze cursus worden naast de beveiligingscomponenten van Standard Java Edition ook beveiligingsproblemen binnen Java Enterprise Edition (JEE) en webservices behandeld. Voorafgaand aan de bespreking van specifieke diensten worden de grondbeginselen van cryptografie en beveiligde communicatie uitgelegd. Er zijn tal van oefeningen waarin zowel declaratieve als programmeerbare beveiligingstechnieken in JEE aan bod komen; tevens wordt zowel transportlaagbeveiliging als end-to-end beveiliging voor webservices besproken. Door middel van diverse praktische oefeningen leren deelnemers hoe ze de behandelde API’s en hulpmiddelen zelfstandig kunnen gebruiken.

Verder worden in deze cursus de meest voorkomende en ernstige programmeerfouten binnen de Java-taal en -omgeving, evenals web-gerelateerde kwetsbaarheden behandeld. Naast typische fouten die door Java-programmeurs worden gemaakt, omvatten de besproken beveiligingsproblemen zowel taalspecifieke uitdagingen als problemen voortkomend uit het runtime-omgeving. Alle kwetsbaarheden en bijbehorende aanvalstechnieken worden gedemonstreerd middels begrijpelijke oefeningen, waarna de aanbevolen programmatuurrichtlijnen en verzachtende maatregelen worden toegelicht.

Deelnemers aan deze cursus zullen

• De basisconcepten van beveiliging, IT-beveiliging en veilig programmeren begrijpen
• Webkwetsbaarheden leren kennen die verder gaan dan de OWASP Top Ten, en weten hoe deze te voorkomen
• De beveiligingsprincipes van webservices begrijpen
• Leeren omgaan met diverse beveiligingsfuncties in het Java-ontwikkelmilieu
• Een praktische kennis van cryptografie opdoen
• De beveiligingsoplossingen binnen Java EE begrijpen
• Typische programmeerfouten leren herkennen en weten hoe deze te vermijden
• Informatie verkrijgen over recente kwetsbaarheden in het Java-framework
• Praktijkervaring opdoen met het gebruik van beveiligingstesthulpmiddelen
• Toegang krijgen tot bronnen en aanvullende literatuur over veilige programmeerpraktijken

Doelgroep

Softwareontwikkelaars

Tegenwoordig zijn er tal van programmeertalen beschikbaar om code te compileren voor de .NET- en ASP.NET-frameworks. Deze ontwikkelomgeving biedt krachtige mogelijkheden voor beveiligingsontwikkeling, maar ontwikkelaars moeten weten hoe zij architectuur- en code-gerelateerde technieken kunnen toepassen om de gewenste beveiligingsfuncties te implementeren en kwetsbaarheden te voorkomen of hun exploitatie te beperken.

Doel van deze cursus is ontwikkelaars via talrijke praktijkopdrachten te leren hoe zij kunnen voorkomen dat niet-vertrouwde code bevoorrechte acties uitvoert, hoe zij bronnen beschermen middels sterke authenticatie en autorisatie, hoe zij externe procedureaanroepen regelen, sessies beheren, verschillende implementaties voor specifieke functionaliteiten introduceren en nog veel meer.

De bespreking van diverse kwetsbaarheden begint met het uiteenzetten van typische programmeerproblemen bij gebruik van .NET; daarna wordt ingegaan op ASP.NET-kwetsbaarheden en de effecten van verschillende omgevingsinstellingen. Tot slot behandelt dit onderwerp ook specifieke beveiligingsuitdagingen binnen ASP.NET, waaronder speciale aanvalstechnieken zoals manipulatie van de ViewState of aanvallen op stringafsluiting.

Deelnemers die deze cursus volgen zullen

• Inzicht krijgen in basisconcepten rond beveiliging, IT-beveiliging en veilig coderen
• Leren over webkwetsbaarheden die verder gaan dan de OWASP Top Ten en hoe deze te voorkomen zijn
• De verschillende beveiligingsfuncties van de .NET-ontwikkelomgeving leren gebruiken
• Praktische kennis opdoen over het gebruik van veiligheidstesttools
• Inzicht krijgen in veelvoorkomende fouten bij coderen en hoe deze te vermijden zijn
• Meer leren over recente kwetsbaarheden binnen .NET en ASP.NET
• Toegang krijgen tot bronnen en literatuur betreffende veilig coderen

Doelgroep

Ontwikkelaars

Deze cursus biedt essentiële vaardigheden voor PHP-ontwikkelaars die nodig zijn om hun applicaties weerbaar te maken tegen moderne aanvallen via het internet. Webkwetsbaarheden worden besproken aan de hand van PHP-voorbeelden, waarbij verder wordt gekeken dan de OWASP top tien. Er wordt ingegaan op verschillende injectieaanvallen, scriptinjections, aanvallen op de sessieafhandeling van PHP, onveilige directe objectverwijzingen, problemen met bestandsuploads en veel meer. PHP-gerelateerde kwetsbaarheden worden geïntroduceerd in groepen volgens de standaardtypen verwaarloosde of incorrecte invoervalidatie, foutieve fout- en uitzonderingsafhandeling, ongepast gebruik van beveiligingsfuncties en tijds- en statusgerelateerde problemen. Bij dit laatste onderdeel bespreken we aanvallen zoals het omzeilen van open_basedir, denial-of-service via 'magic floats' of hash-tabelbotsingen. In alle gevallen maken deelnemers kennis met de belangrijkste technieken en functies die moeten worden gebruikt om deze risico's te beperken.

Er wordt speciale aandacht besteed aan client-side beveiliging, waarbij veiligheidsissues van JavaScript, Ajax en HTML5 worden behandeld. Verschillende beveiligingsgerelateerde PHP-extensies worden geïntroduceerd, zoals hash, mcrypt en OpenSSL voor cryptografie, of Ctype, ext/filter en HTML Purifier voor invoervalidatie. De beste practices voor hardening worden gegeven in relatie tot de PHP-configuratie (het instellen van php.ini), Apache en de server in het algemeen. Tot slot wordt een overzicht geboden van diverse security testing-tools en -technieken die ontwikkelaars en testers kunnen gebruiken, waaronder vulnerability scanners, penetratietesten en exploit packs, sniffers, proxies, fuzzing-tools en statische source code-analysertools.

Zowel de introductie van kwetsbaarheden als de configuratiepraktijken worden ondersteund door diverse hands-oefeningen die de consequenties van succesvolle aanvallen demonstreren, tonen hoe mitigatietechnieken toe te passen en introduceren het gebruik van verschillende extensies en tools.

Deelnemers aan deze cursus zullen

• Basisconcepten van beveiliging, IT-beveiliging en secure coderen begrijpen
• Webkwetsbaarheden buiten de OWASP Top Tien leren kennen en weten hoe ze te vermijden
• Client-side kwetsbaarheden en best practices voor secure coderen leren kennen
• Een praktisch begrip van cryptografie ontwikkelen
• Leren omgaan met verschillende beveiligingsfuncties van PHP
• Typische coderingfouten leren kennen en weten hoe deze te vermijden
• Informatie ontvangen over recente kwetsbaarheden in het PHP-framework
• Praktische kennis opdoen bij het gebruik van security testing-tools
• Bronnen en verdere literatuur over best practices voor secure codering krijgen

Doelgroep

Ontwikkelaars

Deze gecombineerde cursus over de kern van SDL biedt inzicht in het veilig ontwerpen, ontwikkelen en testen van software met behulp van de Microsoft Secure Development Lifecycle (SDL). Er wordt een basisoverzicht gegeven van de fundamentele elementen van SDL, gevolgd door ontwerptechnieken om fouten al in een vroeg stadium van het ontwikkelingsproces te detecteren en corrigeren.

Tijdens de ontwikkelfase komt men te weten wat voor typische beveiligingsproblemen er zich voordoen in zowel beheerde als native code. Er worden aanvalsmethoden besproken die gelden voor deze kwetsbaarheden, samen met passende mitigatiemethoden. Dit alles wordt aangevuld door een reeks praktische oefeningen waarin deelnemers zelf actief kunnen hacken. Vervolgens worden verschillende methoden tot beveiligingstesting behandeld, evenals het effect van diverse testhulpmiddelen. Deelnemers leren deze hulpmiddelen praktisch toepassen op eerder besproken kwetsbare code.

Deelnemers aan deze cursus zullen

De basisconcepten van beveiliging, IT-beveiliging en veilig coderen begrijpen

Kennismaken met de essentiële stappen binnen Microsoft Secure Development Lifecycle

Veilige ontwerp- en ontwikkelingsmethoden leren

Inzicht krijgen in principes van veilige implementatie

De werkwijze bij beveiligingstesting leren kennen

• Bronnen en aanvullende literatuur over het veilig coderen verkrijgen

Doelgroep

Ontwikkelaars, beheerders

Is C++ geschikt voor ingebouwde systemen zoals microcontrollers en realtime-besturingssystemen?

Zou objectgeoriënteerde programmering gebruikt moeten worden in microcontrollers?

Is C++ te veel afzijdig van de hardware om efficiënt te zijn?

Deze trainingscursus, begeleid door een instructeur, gaat op deze vragen in en demonstreert aan de hand van discussie en oefening hoe C++ ingezet kan worden voor het ontwikkelen van ingebouwde systemen met code die accuraat, leesbaar en efficiënt is. Deelnemers zetten hun theoretische kennis om in de praktijk door het maken van een monster-ingebouwde applicatie in C++.

Aan het einde van deze training zullen deelnemers in staat zijn om:

• De principes van objectgeoriënteerd modelleren, programmeertaal voor ingebouwde systemen en realtime programmering te begrijpen
• Code voor ingebouwde systemen te produceren die klein, snel en veilig is
• Codebloat door templates, uitzonderingen en andere taaleigenschappen te vermijden
• Inzicht krijgen in de issues gerelateerd aan het gebruik van C++ in safety-critical en realtime-systemen
• Een C++-programma debuggen op een doelapparaat

Doelgroep

• Ontwikkelaars
• Ontwerpers

Vorm van de cursus

• Gedeeltelijk lezing, gedeeltelijk discussie, oefeningen en intensieve hands-on training

Dit is een cursus van twee dagen die bedoeld is voor C++-programmeurs die geïnteresseerd zijn in het toepassen van de nieuwe C++11-standaard in hun branche. Deze cursus is met name nuttig voor ontwikkelaars van financiële toepassingen, waarbij alle nieuwe functies aan bod komen met codering voorbeelden die worden uitgevoerd in het lab.

Deze praktijkgerichte training onder leiding van een instructeur in Nederland (online of op locatie) richt zich op C++-ontwikkelaars die CUDA willen gebruiken om applicaties te versnellen, hoogperformante GPU-kernels te schrijven en parallelle algoritmebibliotheken in te zetten voor wetenschappelijk onderzoek, dataverwerking en machine learning-toepassingen.

In deze door een instructeur geleide training in Nederland leren deelnemers hoe zij een effectieve beveiligingsstrategie kunnen opstellen om te voldoen aan de uitdagingen op het gebied van DevOps-beveiliging.

De cursus EC-Council Gecertificeerd DevSecOps-engineer (ECDE) is een praktijkgerichte opleiding die professionals in staat stelt om beveiliging te integreren in de gehele DevOps-levenscyclus. Hierdoor wordt veilige softwareontwikkeling mogelijk, van planning tot implementatie.

Dit door een docent geleide live-training – zowel online als op locatie – richt zich op software- en DevOps-professionals met basiskennis die beveiligingsmaatregelen in hun CI/CD-pipelines willen toepassen, teneinde veilige en compliance-conforme code te leveren.

Aan het eind van deze training zijn de deelnemers in staat om:

• De principes en werkwijzen van DevSecOps te begrijpen.
• Elk onderdeel van een CI/CD-pipeline veilig te maken met behulp van geautomatiseerde tools.
• Veilige programmeerpraktijken en kwetsbaarheidsanalyse toe te passen.
• Zich voor te bereiden op het ECDE-certificaat dankzij praktijkgerichte oefeningen en herhaling.

Opbouw van de cursus

• Interactieve lezingen en discussies.
• Praktische toepassing van DevSecOps-tools in gesimuleerde pipelines.
• Gedoseerde oefeningen gericht op veilige ontwikkeling en implementatie.

Opties voor cursusaanpassing

• Wilt u een cursus laten afstemmen op de specifieke werkprocessen of toolchain van uw team? Neem dan contact met ons op om een maatwerkopleiding te regelen.

In deze training wordt C++ geïntroduceerd als een logische vervolgstap op de programmeertaal C bij objectgeoriënteerde ontwikkeling van embedded systemen. Omdat C++ C omvat, gaan we stapsgewijs over van C naar C++, waarbij we ook onder de motorkap kijken hoe C++ daadwerkelijk wordt geïmplementeerd. Dit is vooral nuttig wanneer men C++ toepast in embedded systemen met beperkte resources. De C++-standaard heeft recent een belangrijke vernieuwing ondergaan, bekend als C++11, en nu staat de volgende versie – C++14 – op het punt te verschijnen. Deze cursus behandelt specifiek die aspecten van deze versies die bijzonder nuttig zijn: efficiënt geheugenbeheer, parallelisme via gebruikmaking van meerkernige processoren, en directe hardwaretoegang – bijvoorbeeld voor geheugengemapte I/O of beheersing van interrupts.

DOELSTELLINGEN / VOORDELEN

Het hoofddoel van deze cursus is dat u C++ op een “juiste manier” kunt toepassen.

• C++ introduceren als objectgeoriënteerde programmeertaal binnen embedded systemen
• De overeenkomsten – en verschillen – met de taal C uitleggen
• Verschillende strategieën voor geheugenbeheer begrijpen, met name de move-semantiek die in C++11 werd toegevoegd
• Onder de motorkap kijken en zien hoe verschillende programmeerparadigma’s zich vertalen naar machinetaal
• Templates gebruiken om typeveilige, krachtige abstracties te creëren voor directe hardwaretoegang – bijvoorbeeld bij geheugengemapte I/O en interrupts – vooral variadic templates die in C++11 zijn geïntroduceerd
• Een aantal nuttige ontwerppatronen behandelen die specifiek relevant zijn voor embedded ontwikkeling
• Enkele oefeningen uitvoeren om de behandelde concepten in praktijk te brengen

DOELGROEP / DEELNEMERS

Deze training is bedoeld voor C++-programmeurs die C++ willen gaan toepassen in embedded systemen.

VOORKENNIS

Voor deelname aan deze cursus zijn basiskennis en vaardigheden op het gebied van C++ vereist, zoals behandeld in onze trainingen ”C++ – Niveau 1” en ”C++ Niveau 2 – Introductie tot C++11”.

PRAKTIJKOEFENINGEN

Tijdens de cursus oefent u de behandelde concepten via verschillende praktische opdrachten. Hiervoor maken we gebruik van het gratis en open source Eclipse-integrated development environment.

Dit cursusprogramma in Nederland heeft als doel de volgende ondersteuning te bieden:

1. Ontwikkelaars helpen bij het beheersen van technieken voor het schrijven van veilige code
2. Softwaretesters ondersteunen bij het testen van de beveiliging van applicaties voordat deze in productie gaan
3. Softwarearchitecten helpen om zich bewust te worden van de risico’s die verbonden zijn aan applicaties
4. Teamleiders ondersteunen bij het vaststellen van beveiligingsstandaarden voor ontwikkelaars
5. Webbeheerders helpen bij het configureren van servers om verkeerde instellingen te voorkomen

In deze cursus komen de concepten en principes van veilig coderen in Java aan bod, waarbij gebruik wordt gemaakt van de testmethodologieën van het Open Web Application Security Project (OWASP). De Open Web Application Security Project is een online gemeenschap die vrij beschikbare artikelen, methodieken, documentatie, hulpmiddelen en technologieën op het gebied van webapplicatiebeveiliging ontwikkelt.

Deze cursus behandelt de concepten en principes van veilig programmeren met ASP.NET, volgens de testmethodologie van het Open Web Application Security Project (OWASP). OWASP is een online community die vrij beschikbare artikelen, methodologieën, documentatie, tools en technologieën op het gebied van webapplicatiebeveiliging ontwikkelt.

Deze cursus onderzoekt de beveiligingsfuncties van het .NET Framework en hoe u webapplicaties kunt beveiligen.