Web application firewalls: workshop
27 May 2008 (10-18)
Locatie: Business Faculty Brussel (Neder-over-Heembeek)
Gepresenteerd in het Nederlands door
Prijs: 480 EUR (excl. 21% BTW)
This event is history, please check out the List of Upcoming Seminars, or send us an email
Check out our related in-house workshops:
- Google BigQuery in Practice (INHOUSE WORKSHOP - On Request)
Leerdoelen
Waarom deze workshop ?
Iedereen die betrokken is bij de ontwikkeling van webapplicaties weet dat security
belangrijk is - alleen blijft dat besef soms vrij abstract. Software-architecten,
developers en testers (en hun managers) zijn meestal al tevreden indien hun
applicatie doet wat ze moet doen. Maar wat gebeurt er indien verkeerde informatie
of een teveel aan informatie wordt ingegeven ?
75 % Van de internet attacks komen via de applicatielaag. In voorgaande seminaries over Web Application security presenteerden we de hacking-technieken die Web developers horen te kennen, om ze te kunnen vermijden.
Een andere aanpak is het verminderen van het risico op inbraak door ervoor te zorgen dat de meest voorkomende soorten "malicious requests" nooit tot bij de applicatie raken via een Web application Firewall.
Web application firewalls zijn voor de meesten onbekend, maar wegens de problemen met web security en de vele hacks van web sites worden web application firewalls een must. Zeker nu een van de richtlijnen voor PCI compliance een web application firewall of code review is. In dit seminarie proberen we u in te leiden in dit onderwerp en in een snel tempo een overzicht te geven over de verschillende mogelijkheden en voordelen/nadelen van web application firewalls. U krijgt zelfs de mogelijkheid om de open-source web application firewall, ModSecurity, te installeren en te configureren om een kwestbare web applicatie, WebGoat van OWASP, te beveiligen tegen aanvallen zoals SQL Injection en Cross-site-scripting.
Belangrijk: deelnemers nemen een laptop mee. Ter plaatse worden een aantal applicaties op de laptop geplaatst, die geen configuratieverandering inhouden - de applicaties leven in een aantal bestanden in één map, die op het eind van de sessie desgewenst gewoon weer gewist kan worden.
Voor wie is deze workshop bestemd ?
- developers
- architecten
- security specialisten
- netwerk managers, ....
... iedereen die zich een beeld wil vormen van web applicatie security en hoe
aanvallen op uw applicatie te voorkomen.
Volledig Programma
De dag begint om 10u. Wij verwelkomen de deelnemers met koffie, thee en koeken vanaf 9u30 en eindigen rond 18u.
- Overzicht web application security problemen in 2008
- Waarom een web application firewall?
- Wat is het verschil met een gewone firewall?
- Configuratie en deployment mogelijkheden
- Evaluatiecriteria voor Web Application Firewalls (op basis van het WACEF project van het Web Application Security Consortium)
- Hoe helpt dit met PCI compliance?
- Wat kan een web application firewall detecteren en niet detecteren?
- Overzicht commercieel verkrijgbare producten
- Hoe matchen ze de WACEF criteria?
- Integratie met Identity en Access Management
- Vereisten
- Configureren van ModSecurity
- ModSecurity Rules:
- werking
- syntax
- ModSecurity Core Rules project
- ModSecurity Cool Rules project
- ModSecurity console: overzicht van alerts en transacties
- Open-source initiatieven voor ModSecurity
- Installeren en configureren van ModSecurity op Windows/Linux
- Beveiligen van WebGoat, een kwetsbare applicatie van OWASP
Sprekers
Ir. Erwin Geirnaert is partner en mede-oprichter van ZION SECURITY. Hij is een gecertifieerd (CISSP en CISA) en gerenommeerd security expert met een brede strategische en technische ervaring in (web) application security, security testing, code reviews, reverse engineering, identity & access management, mobile security, single sign-on en secure e-business architectures.
Erwin Geirnaert is van opleiding Burgerlijk Ingenieur Computerwetenschappen (Gent), hij startte zijn carrière bij The Reference waar hij verantwoordelijk was voor consultancy, pre-sales support, functionele analyses, WebSphere en security. Vervolgens vervoegde hij het security bedrijf Ascure en specialiseerde zich in (web) application security. Hij gaf training aan developers en security engineers, voerde verschillende succesvolle penetration tests en audits uit voor financiële instellingen en implementeerde een incident response proces voor een groot Europees energiebedrijf. Nadien werd hij geselecteerd door Electrabel om het security team van Electrabel Europe te versterken. Hij assisteerde de security manager om security projecten te realiseren als technisch expert en project manager. Hij was ook verantwoordelijk voor detectie en opvolging van security incidenten.
Gebeten door het Vlaamse ondernemersvirus richtte hij in 2005 het bedrijf Zion Security op met als specialisatie application security. Zion Security voert security testen, code en architecture reviews uit voor grote organisaties. Bijkomend biedt Zion Security een totaaloplossing aan op maat van KMOs om hun applicaties beter te beveiligen.
Erwin is één van de weinige experts in België over (web) application security. Hij is lid van het Open Web Application Security Project (OWASP), ISACA Belux, Software Testing Instituut en het Javapolis Steering Committee. Hij is een veel gevraagd spreker in binnen- en buitenland over application security en security testing. Hij sprak onder andere op Eurostar (de Europese conferentie voor software testers), WhiteHats UK (round-table van security experts in Londen), Javapolis (de Europese Java conferentie), OWASP Conference (de Europese conferentie voor web application security), Technologisch Instituut/KVIV, ICT2Day, KMO-IT, SOA Conference & IT Works en geeft diverse trainingen aan bedrijven over security testing, secure development en application security.
Volgende bedrijven hebben al samengewerkt met Erwin Geirnaert: Microsoft, SAP, Cisco, ING Global, KBC, Mercator Bank & Verzekeringen, Vasco Data Security, Kinepolis, Tessenderlo Chemie, Dexia, AXA, Vlaamse Gemeenschap, Ministerie van Financiën, Dolmen, CSI4SAP, 4 All Networks, Mediargus, Cultuurnet, Merck Eurolab, Telenet, Electrabel, Solvay, Koninklijke Federatie van Notarissen, De Post, Vondelmolen, Excelligent, LoQutus, Mitsubishi Caterpillar, TomTom, Cofinimmo, CSC,...
Questions about this ? Interested but you can't attend ? Send us an email !