Основы безопасного программирования с использованием инструментальных средств анализа программного кода

Программа курса:

День 1

Модуль 1. Понятие уязвимости.
Модуль 2. Почему уязвимости опасны, кто и как их эксплуатирует.
Модуль 3. Теоретические сведения и практические примеры уязвимостей в программном коде.
Модуль 4. Теоретические основы формирования хакерских атак
Модуль 5.. Примеры успешных хакерских атак на систему посредством эксплуатации уязвимостей.
Модуль 6. Причины возникновения уязвимостей в программном коде.
Модуль 7. Классификаторы уязвимостей.
Модуль 8. Анализ устойчивости операционной системы к воздействию вредоносных программ (подмена, замещение, модификация целевых файлов).
Модуль 9. Введение в цикл разработки ПО.
Модуль 10. Особенности современной разработки и описание типовых сценариев появления уязвимостей в программном коде.
Модуль 11. Введение в SDLC (secure development lifecycle).
Модуль 12. Понятие электронно-цифровой подписи (ЭЦП) и её использование при разработке.

День 2

Модуль 13.. Принципы работы статических анализаторов кода. Чем анализаторы отличаются и как они работают.
Модуль 14. Сравнение разных статических анализаторов на учебных приложениях (учебные приложения составляются с наглядными уязвимостями, сконцентрированными в небольшом приложении).
Модуль 15. Принципы анализа кода, внутреннее представление программы для анализа.
Модуль 16. Правила для описания новых уязвимостей.
Модуль 17. Повышение качества работы статического анализатора.
Модуль 18. В практическом блоке упражнений будут предложены задания для сравнения работы разных анализаторов на практике. Сравнение полноты анализа.
Модуль 19. Статический анализ реальных проектов.
Модуль 20. Анализ многоязыковых приложений.
Модуль 21. Ложные срабатывания (False positive) – теоретическая составляющая: причины возникновения ложных срабатываний.
Модуль 22. Фильтрация ложных срабатываний.
Модуль 23. Полнота анализа и пропущенные ошибки (False negative).

День 3

Модуль 24. Ошибки, которые статический анализатор не находит.
Модуль 25. Динамический анализ и анализ времени выполнения.
Модуль 26. Почему нужен Dynamic analysis, если есть Static analysis?
Модуль 27. Принцип работы динамического анализатора.
Модуль 28. Принцип работы анализатора времени выполнения.
Модуль 29. Какие уязвимости можно обнаружить, какие требования выдвигаются к приложениям, чтобы можно было применять инструментальные средства анализа кода.
Модуль 30. Демонстрация работы динамического модуля и модуля времени выполнения.
Модуль 31. Примеры эксплуатации уязвимостей Web-приложений и защита от них посредством использования динамического модуля и модуля времени выполнения.
Модуль 32. Разработка безопасного ПО с использованием лучших практик.
Модуль 33.. Повышение качества разработки ПО при использовании сканеров безопасности
Модуль 34.. Настройка модуля динамического анализа.
Модуль 35. Настройка модуля времени выполнении приложений.
Модуль 36. Интеграция инструментальных средств анализа кода с другими инструментальными системами, участвующими в разработке ПО.
Модуль 37. Сканеры безопасности как средство анализа ПО.
Модуль 38. Контроль целостности и модификации исполняемых файлов.

День 4.

Демонстрация решений — сканеров безопасности:
• Сканера WEB – приложений;
• Сканера общего назначения;
• Сканера решений класса InfoWatch;
• Сканера решений для контроля целостности файлов
• Сканера HIPS.
Подведение итогов, ответы на вопросы.