Kurssit
Perusteet haltuun
Aloita täältä. Tällä kurssilla käymme läpi tärkeitä perusteita, jotka mahdollistavat syventävän oppimisen yhä monimutkaisempiin aihe-alueisiin tietoturvan parissa. Kurssi on tarkoitettu oppilaille, jotka ovat uusia tietotekniikan parissa.
BurpSuite - Perusteet
BurpSuite on johtava web-sovellusten tietoturvatyökalu, joka helpottaa haavoittuvuuksien tunnistamista ja hyödyntämistä web-sovelluksissa erilaisten hyökkäystyökalujen avulla.
Python Ohjelmointi
Opetellaan ohjelmoinnin perusteet Pythonilla. Suunnattu täysin vasta-alkajille.
JavaScript
Opi ohjelmointia JavaScriptilla, joka voi hyvinkin olla nykymaailmassa tärkein ja monipuolisin ohjelmointikieli, ainakin web-kehityksessä.
Web-kehityksen Perusteet
Tämä kurssi on johdatus web-kehitykseen ja se keskittyy HTML:n, CSS:n, JavaScriptin ja taustajärjestelmien perusteisiin. Kurssin tavoitteena on antaa opiskelijoille tarvittavat taidot ja tietämys, jotta he voivat suunnitella ja kehittää ja ymmärtää yksinkertaisia web-sovelluksia.
SQL-Injektio
SQL-injektio lienee syynä valtaosaan vakavista tietomurroista, pääasiallisesti sen takia että haavoittuvuus on suuressa sovelluksessa erittäin todennäköinen jos teknologiavalinnat ovat huonot, ja seuraus on yleensä koko tietokannan vuotaminen hyökkääjälle.
Salasanahyökkäykset
Salasanat ovat hirvittävän epäturvallisia aivan hirvittävän monesta syystä, mutta silti välttämättömiä. Vaarallinen kombinaatio!
Komentoinjektiot
Yksi karmivimmista paikoista johon injektiohaavoittuvuus voi osua on käyttöjärjestelmäkomennot. Seuraamus on lähes poikkeuksetta palvelimen täysi haltuunottaminen hyökkääjän toimesta. Näitä haavoittuvuuksia kuitenkin löytyy melkoisen usein kun sovellus käyttää esimerkiksi komentorivityökaluja kulissien takana.
XSS (Cross-Site Scripting)
Opi löytämään ja hyväksikäyttämään haavoittuvuutta joka on yksi kaikista yleisimmistä haavoittuvuuksista, helpohko löytää, ja siitä huolimatta hyvin vaarallinen. Hackerone rankkasi XSS:n #1 bug bounty -haavoittuvuudeksi 2021.
JWT Hyökkäykset
JWT-tokeneita on nykyään lähes kaikkialla mihin katsoo. Kuitenkin JWT-kirjaston valinta tai määritys menee usein pieleen, joka voi johtaa tokenien väärentämiseen, joka taas tyypillisesti johtaa sovelluksen turvallisuuden totaaliseen murtumiseen.
XXE (XML External Entity) Hyökkäykset
XML on pintapuolisesti yksinkertainen protokolla, tageja ja attribuutteja. XML:llä on kuitenkin salaisia kykyjä jotka valitettavan usein eivät ole oletusarvoisesti poistettu käytöstä XML-käsittelijöissä...
LFI / RFI
Erityisesti PHP-sovelluksia historiallisesti vaivannut haavoittuvuus jota voi edelleen tavata luonnosta, erityisesti vanhoista web-sovelluksista.
Pääsynhallintahaavoittuvuudet
Kehitys kehittyy ja modernien sovelluskehysten ansiosta perinteisiä injektiohaavoittuvuuksia tai autentikointiongelmia näkee jatkuvasti vähemmän. Yksi asia kuitenkin on joka tuntuu pysyvän aina yhtä vaikeana toteuttaa turvallisesti, ja se on monimutkaisen sovelluksen pääsynhallinta.
URL-injektio
Injektioita on joskus yllättävissäkin paikoissa ja URL-osoitteiden rakentaminen on yleinen paikka, jossa kehittäjät unohtavat huomioida vaaran.
Templaattien Injektiohaavoittuvuudet
HTML:ää rakennetaan tyypillisesti templaateilla juuri injektiohaavoittuvuuksien välttämiseksi, mutta joskus käy niin kurjasti että injektio osuukin itse templaattiin, ja tällöin seuraukset ovat vakavat.
Deserialisointihyökkäykset
Sarjallistaminen on äärimmäisen helppo ja kätevä tapa saada monimutkaisia tiloja tallentumaan levylle tai siirtymään verkon yli. Helppous tuo kuitenkin mukanaan varjopuolen, sarjallistetun objektin purkaminen nimittäin on rinnastettavissa pommin purkamiseen. Se on tehtävä juuri oikein tai muuten seuraukset voivat olla katastrofaaliset.
Selainturvallisuus
Selain on monipuolinen ympäristö, jossa on eri välilehdissä ja eri ikkunoissa ajossa koodia täysin eri tahoilta, ja nämä web-sovellukset pystyvät vielä kommunikoimaan keskenään. Tällaisessa ympäristössä on riskinsä!
Windows - Hyökkäys ja Puolustus
Windows ja Active Directory hyökkäykset sekä puolustus
Nmap
Nmap on yksi tunnetuimmista työkaluista, jolla voit suorittaa monipuolisia verkkoskannauksia. Jokaisen tietoturva-ammattilaisen olisi hyvä osata käyttää tätä työkalua.
Windows tietoturvan perusteet
Tällä kurssilla käymme läpi perusasioita liittyen Windows -järjestelmien hallintaan ja tietoturvan ylläpitoon.
Linux hallinta- ja koventaminen
Tällä kurssilla käymme läpi Linux -järjestelmien hallintaan ja koventamiseen liittyviä aiheita
Type-juggling haavoittuvuudet
Ohjelmointikielen automaattinen tyyppimuunnos voi johtaa odottamattomiin tuloksiin, joita hyökkääjä voi hyödyntää
PDF-export injektio
PDF-tiedostogeneraattorit ovat yleisiä ja hyvästä syystä. Näistä on kuitenkin löytynyt viime vuosina löytynyt vaarallisia haavoittuvuuksia.
Wireshark
Wireshark on työkalu jota käytetään tietoliikenteen kaappaamiseen ja analysointiin. Työkalu on omiaan eri verkkoprotokollien oppimiseen ja tarvitset sitä usein myös CTF-kilpailuissa.
Tietoturvavalvonnan perusteet ja käsitteet
Tällä kurssilla käymme läpi organisaation tietoturvavalvontaan liittyviä käsitteitä.
Kryptografia
Kryptografian historiasta nykykäyttöön, salauksen perusteet, teknologiat, sovellukset ja niiden vaikutus turvallisuuteen.
Metasploit
Metasploit on suosittu hyökkäyskehys, joka auttaa ammattilaisia tunnistamaan ja hyödyntämään tietoturva-aukkoja. Tässä kurssissa käydään läpi Metasploitin käyttöä ja opitaan, miten sitä voidaan käyttää hyökkäysten toteuttamiseen ja tietoturva-aukkojen löytämiseen.
BurpSuite - Lisäosien rakentaminen
Kurssilla syvennytään Burp Suiten jatkokehitykseen ja opitaan hyödyntämään sen lisäosarajapintaa tehokkaasti. Rakennamme useita käytännönläheisiä lisäosia ratkaisemaan yleisiä testauksessa kohdattuja ongelmia.
Tietoverkot
Tutustutaan hieman peruskurssia syvällisemmin tietoverkkoihin ja verkkoprotokolliin. Edelletys esimerkiksi Nmap- ja Wireshark -kursseilla pärjäämiseen.
Nessus
Nessus on laajalti käytetty tietoturva-arviointityökalu, joka on suunniteltu tunnistamaan haavoittuvuuksia ja heikkouksia tietokonejärjestelmissä, verkoissa ja sovelluksissa.