Teste de Invasão de Aplicações Web (EaD)

O curso trata de testes de invasão de aplicações web, as quais, atualmente, são um dos principais alvos de ataque, devido à presença massiva nos mais diversos ambientes. Um teste de invasão, também chamado de teste de penetração ou pentest, é um método utilizado para verificar a segurança de um ambiente, plataforma ou sistema, por meio da simulação de ataques reais explorando as vulnerabilidades encontradas. Diferentemente de uma varredura de vulnerabilidades, que muitas vezes recorre ao simples uso de ferramentas automatizadas, pentest é um processo cíclico que depende principalmente do conhecimento técnico do auditor de segurança que o realiza. Este curso, então, espera introduzir as principais técnicas que podem ser empregadas.

DURAÇÃO: 5 (cinco) semanas de duração e mais uma semana de encerramento (total de 6 semanas); 2 (dois) encontros online por semana com o tutor (total de 10 encontros). Os encontros serão ao vivo e terão 2 (duas) horas de duração
SISTEMA DE AVALIAÇÃO: Para conclusão do curso e acesso ao certificado é necessário:
Entregar no mínimo 50% das tarefas;
Ter 50% de presença no total de encontros online;
Obter média 6,0 (seis) no Questionário de Avaliação Final.
MATERIAL: O material de apoio será disponibilizado no Ambiente Virtual de Aprendizagem (AVA): conteúdo do curso, agenda do curso, tarefas, questionários, materiais extras e vídeo do encontro online.
TÉCNICA: Para acompanhamento do curso, o aluno precisará de um computador com navegador web e o Oracle Virtual Box instalado, com memória a partir de 4GB, com acesso direto à Internet e 20GB de espaço em disco. Sugerimos que o aluno acesse por um computador utilizando, de preferência, o navegador Firefox ou Chrome; Para os encontros online, recomendamos o uso de fones de ouvido com microfone.

Arquitetura e tecnologias de aplicações web;
Criptografia: cifras simétricas, cifras assimétricas, funções de hash criptográficas, MACs, assinaturas digitais, certificados digitais e SSL/TLS;
Tipos de pentest e metodologia para teste de invasão;
Injeção de SQL com acesso à plataforma subjacente, especificidades dos SGBDs e injeção de SQL às cegas;
Injeção em LDAP, XML, SMTP e injeção de comandos;
Transporte de credenciais por canais inseguros;
Enumeração de usuários; Política de senhas fortes não implementadas pela aplicação;
Falhas na programação ou projeto do mecanismo de autenticação;
Mecanismos de recuperação de senhas vulneráveis;
Condições de corrida no mecanismo de autenticação;
Testes sobre o gerenciamento de sessões;
Cross-Site Scripting (XSS) e CSRF;
Teste dos mecanismos de autorização;
Testes dos mecanismos criptográficos;
Teste completo e relatórios. Fundamentos e as metodologias de uma análise de risco;
Tópicos principais para a construção de uma política de segurança;
A navegação na Internet e as ameaças atuais; Navegação segura na Internet;
Programas de segurança de um computador pessoal.

Conceitos básicos de TCP/IP, HTTP;
Conceitos básicos de Javascript;
Conceitos básicos de bancos de dados;
Conceitos básicos de mecanismos e protocolos criptográficos;
Ter realizado o curso Análise Forense ou possuir conhecimento equivalente.

Ao final do curso, o aluno será capaz de:
Ter ciência sobre as vulnerabilidades de maior risco encontradas em sistemas web (OWASP Top Ten) e como elas podem ser exploradas por usuários maliciosos;
Ensinar técnicas para a realização de Pentest em aplicações web; Introduzir ferramentas que podem otimizar o processo de Pentest, por meio da automatização de algumas tarefas.