Secure Application Development
2 June 2005 (14-21)
Locatie: Sofitel Diegem (Diegem near Brussels (Belgium))
Gepresenteerd in het Nederlands door
Prijs: 480 EUR (excl. 21% BTW)
This event is history, please check out the List of Upcoming Seminars, or send us an email
Check out our related in-house workshops:
- Google BigQuery in Practice (INHOUSE WORKSHOP - On Request)
Leerdoelen
Waarom dit seminar ?
Security problemen en preventie verplaatsen zich van infrastructuur (netwerk, firewalls, anti-virus...) naar applicaties. Waar vroeger successvolle aanvallen op netwerkniveau gerealiseerd werden, focussen virussen en hackers zich uitdrukkelijk op bugs in applicaties. Omwille van de commerciële en juridische risico's bij gebruik van of produceren van onveilige software, moet er ook rekening worden gehouden met security binnen het development proces.
Of men nu software schrijft voor interne applicaties of als eindproduct, elke fase van de software development life cycle (SDLC) moet aandacht besteden aan de confidentialiteit, integriteit en beschikbaarheid van de data en business processen. Dit seminarie zal aantonen waar en hoe een software team het proces kan verbeteren en hoe men de gekende vulnerabilities kan vermijden om als eindresultaat veilige software te bekomen.
Wat leert u tijdens dit seminar ?
- Hoe het software development proces omvormen naar een secure software development proces
Voor wie is dit seminar bestemd ?
- Voor wie actief is in software-ontwikkeling: software-architecten, senior programmeurs, teamleaders, ICT managers
- Voor wie actief is in security:CSO's, security engineers, security managers, ...
Heeft u specifieke vragen die u tijdens dit seminarie beantwoord wil zien? Stuur ze naar seminars@itworks.be.
Volledig Programma
- Wat gebeurt er bij het verwaarlozen van application security: een paar real-life voorbeelden
- Application-attacks (zowel door werknemers als externen) verdringen network-attacks in belangrijkheid: illustraties
- De grote misvatting: bedreigingen komen van buitenuit. 80% Van de security breaches hebben plaats binnen het bedrijf - het applicatie-ontwerp moet daarop voorzien zijn
- Security Development Lifecycle als uitbreiding van bestaande ontwikkelmethodologieën.
- Dit proces gaat extra security-gerelateerde stappen en deliverables inbouwen
bij elke fase van het software-ontwikkelproces. Daarbij horen:
- opstellen van "threat models" bij het modelleren van de applicatie
- statistische analyse en code-scanning tools bij de implementatie
- code reviews en security testing
- Een overzicht van veel voorkomende fouten bij software-ontwikkeling die leiden tot vulnerabilities.
- Best Practices bij secure software ontwerp: het SD³ framework:
- secure by design,
- secure by development
- secure by deployment
- Threat modeling is een methode om bedreigingen systematisch te identificeren en te inventariseren, en te rangschikken volgens ernst bij het ontwerpen van een nieuwe applicatie.
- Op basis van het threat model en van een gedegen begrip van architectuur en implementatie van de te testen applicatie kunnen beveiligingsstappen afgewogen worden volgens kost versus het te voorkomen risico.
- Een praktisch overzicht van de verschillende types aanvallen. Het overzicht is gebaseerd op research van het Florida Institute of Technology en behandelt een range technieken gaande van het aanvallen van dependencies tot exploits van de user interface.
- We zullen tonen hoe makkelijk het misbruiken van zwaktes in ontwerp en programmeercode kan zijn!
- Bespreking van het foutenmodel bij security testing
- Gebruik van Testing tools
- Opzetten van een intern "Red Team" voor het testen van applicaties
tijdens het ontwikkelproces (niet nadien).
Sprekers
Ir. Erwin Geirnaert is partner en mede-oprichter van ZION SECURITY. Hij is een gecertifieerd (CISSP en CISA) en gerenommeerd security expert met een brede strategische en technische ervaring in (web) application security, security testing, code reviews, reverse engineering, identity & access management, mobile security, single sign-on en secure e-business architectures.
Erwin Geirnaert is van opleiding Burgerlijk Ingenieur Computerwetenschappen (Gent), hij startte zijn carrière bij The Reference waar hij verantwoordelijk was voor consultancy, pre-sales support, functionele analyses, WebSphere en security. Vervolgens vervoegde hij het security bedrijf Ascure en specialiseerde zich in (web) application security. Hij gaf training aan developers en security engineers, voerde verschillende succesvolle penetration tests en audits uit voor financiële instellingen en implementeerde een incident response proces voor een groot Europees energiebedrijf. Nadien werd hij geselecteerd door Electrabel om het security team van Electrabel Europe te versterken. Hij assisteerde de security manager om security projecten te realiseren als technisch expert en project manager. Hij was ook verantwoordelijk voor detectie en opvolging van security incidenten.
Gebeten door het Vlaamse ondernemersvirus richtte hij in 2005 het bedrijf Zion Security op met als specialisatie application security. Zion Security voert security testen, code en architecture reviews uit voor grote organisaties. Bijkomend biedt Zion Security een totaaloplossing aan op maat van KMOs om hun applicaties beter te beveiligen.
Erwin is één van de weinige experts in België over (web) application security. Hij is lid van het Open Web Application Security Project (OWASP), ISACA Belux, Software Testing Instituut en het Javapolis Steering Committee. Hij is een veel gevraagd spreker in binnen- en buitenland over application security en security testing. Hij sprak onder andere op Eurostar (de Europese conferentie voor software testers), WhiteHats UK (round-table van security experts in Londen), Javapolis (de Europese Java conferentie), OWASP Conference (de Europese conferentie voor web application security), Technologisch Instituut/KVIV, ICT2Day, KMO-IT, SOA Conference & IT Works en geeft diverse trainingen aan bedrijven over security testing, secure development en application security.
Volgende bedrijven hebben al samengewerkt met Erwin Geirnaert: Microsoft, SAP, Cisco, ING Global, KBC, Mercator Bank & Verzekeringen, Vasco Data Security, Kinepolis, Tessenderlo Chemie, Dexia, AXA, Vlaamse Gemeenschap, Ministerie van Financiën, Dolmen, CSI4SAP, 4 All Networks, Mediargus, Cultuurnet, Merck Eurolab, Telenet, Electrabel, Solvay, Koninklijke Federatie van Notarissen, De Post, Vondelmolen, Excelligent, LoQutus, Mitsubishi Caterpillar, TomTom, Cofinimmo, CSC,...
Questions about this ? Interested but you can't attend ? Send us an email !