Secure Coding

Scarica catalogo completo

Modulo 1: Introduzione al Secure Coding e alla Sicurezza Applicativa

• Che cos’è il Secure Coding: principi base, differenze tra clean code e secure code.
• Minacce principali: panoramica su attacchi come SQL Injection, XSS, e attacchi emergenti.
• Modello CIA (Confidentiality, Integrity, Availability) e la sua rilevanza.
• Sicurezza by Design: come integrare la sicurezza sin dalle prime fasi dello sviluppo.

Modulo 2: Clean Code e Best Practices

• Principi di Clean Code: leggibilità, manutenzione, modularità.
• Secure Code e Clean Code: differenze e sovrapposizioni.
• Standard di codifica sicura (es. OWASP Secure Coding Practices).
• Error Handling sicuro: evitare divulgazioni di dettagli tecnici.
• Esempi pratici di codice: trasformare un codice vulnerabile in codice sicuro e pulito.

Modulo 3: Vulnerabilità Comuni e Tecniche di Mitigazione (Parte 1)

• Injection Attacks:
  • SQL Injection: spiegazione, esempi, mitigazione (parametri, ORM).
  • Command Injection: rischi e protezioni.
• Cross-Site Scripting (XSS):
  • Tipi di XSS: riflessioni sulla sicurezza del frontend e del backend.
  • Prevenzione: escaping, sanitizzazione.
• Autenticazione e Gestione delle Credenziali:
  • Hashing sicuro (es. bcrypt).
  • Gestione delle sessioni (es. token JWT).
• Workshop pratico:
  • Correzione di codice vulnerabile a SQL Injection.
  • Implementazione di un filtro XSS.

Modulo 4: Vulnerabilità Comuni e Tecniche di Mitigazione (Parte 2)

• CSRF (Cross-Site Request Forgery): come funzionano gli attacchi e come prevenirli (token anti-CSRF).
• Buffer Overflow: principi e metodi di difesa.
• Gestione degli errori e logging: come gestire errori senza esporre informazioni sensibili.

Modulo 5: Strumenti di Analisi della Sicurezza del Codice

• Analisi Statica del Codice:
  • Introduzione agli strumenti (SonarQube, ESLint).
  • Esempio pratico: analisi di un progetto con SonarQube.
• Analisi Dinamica del Codice:
  • OWASP ZAP e Burp Suite: overview e demo pratica.
• Gestione delle dipendenze e librerie di terze parti:
  • Strumenti come OWASP Dependency-Check e Snyk.

Modulo 6: Compliance e Certificazioni di Sicurezza

• Certificazioni ISO: ISO/IEC 27001:2022, ISO/IEC 27034.
• Standard PCI DSS e HIPAA: requisiti per la conformità.
• Mappe di sicurezza per il codice: collegare i principi di secure coding agli standard di certificazione.
• Audit interni ed esterni: best practices per superare controlli di sicurezza.
• Workshop:
  • Creare un piano di sicurezza per un progetto software.
  • Simulazione di un audit.