1. Lời giới thiệu

Sự bùng nổ về cách sử dụng các công nghệ Web kết hợp chặt chẽ giữa Internet và Intranet đã làm tăng về các rủi ro về bảo mật thông tin dữ liệu. Đây là lúc cần thiết đề các chuyên gia về Web đào tạo các kỹ thuật để bảo vệ Website khỏi các hiểm họa từ bên trong lẫn bên ngoài một cách hiệu quả.

Trong khóa học này các học viên sẽ đạt được những kinh nghiệm mở rộng về bảo mật phương tiện truyền thông Web và các Website. Các học viên sẽ học được các điểm yếu thống thường của các Webstie cũng như cách thực hiện bảo mật qua các mạng không được bảo mật.

2. Đối tượng

Khóa học này rất phù hợp cho những người có liên quan đến công tác bảo mật các Websites trong đó bao gồm các nhà phát triển Web, các chuyên gia về Web cũng như các quản trị bảo mật

3. Yêu cầu trước khi tham gia khoá học

Để hoàn thành tốt khoá học, học viên cần phải:

• Có kinh nghiệm về Web Server
• Có kinh nghiệm về Windows hoặc Unix

4. Các kỹ năng thu được

Sau khi hoàn thành khoá học, học viên có thể:

• Cài đặt và cấu hình một ISS của Window hoặc Apache
• Bảo mật Web Browser
• Kiểm tra và ....
• Cấu hình xác nhận người sử dụng
• Sử dụng các SSL để mã hóa giao thông Web
• Tạo một chứng nhận về bản quyền
• Thực thi một chứng nhận về Client
• Câu hình Web server trước những yêu cầu xác nhận về client
• Bảo vệ các browser và các server với firewall dựa trên proxy

5. Thời lượng: 30 giờ

Nội dung khóa học

INTRODUCTION TO WEB SECURITY

Web technologies

• The Web client/server architecture
• What does the Web server do?
• Transferring hypertext documents with HTTP
• Dynamic content technologies

Basic information assurance issues

• Availability
• Authentication
• Privacy
• Integrity

SECURING THE WEB CLIENT

Threats and vulnerabilities

• Client information leakage
• How cookies work
• Assessing the threats from Java, JavaScript, VBScript and ActiveX
• Hostile applets and viruses

Protecting your Web browser

• Disabling Java applets
• Turning off cookies
• Using an online virus checker
• Obtaining browser certificates
• Enabling and disabling signing authorities

CONFIGURING OPERATING SYSTEM AND NETWORK SECURITY

Operating system security features

• Authenticating users
• File permissions and document roots
• Operating privileges for the server
• Audit tools

Network security

• Preventing IP address spoofing
• Securing DNS servers
• Minimizing denial-of-service threats

ENHANCING WEB SERVER SECURITY

Controlling access

• Configuring user authentication on IIS and Apache
• Restricting access based on hostname/IP address
• Enabling and configuring logging
• Dynamic configuration files

Extended site functionality

• Securing CGI script invocations
• Guidelines for secure Web programming

Securing Web communications with SSL

• Public key and private key encryption
• Storing and distributing keys
• Ensuring data integrity with message digests
• Digitally signing data and documents
• Enabling the Secure Sockets Layer (SSL)
• Obtaining and installing server certificates

ISSUING AND MANAGING CERTIFICATES

Why certificates are used

• Preventing eavesdropping with public key encryption
• Authenticating clients and servers
• Utilizing the X.509 v3 Certificate format

Certificate authorities (CAs)

• Using a public certificate authority
• Non-authoritative certificates
• Chaining certificate authorities
• Classes of certificates

Trusting CAs in servers and browsers

• Importing CA certificates
• Running your own certificate server
• Choosing which CAs to trust
• Checking certificate revocation lists

PROTECTING DATA WITH FIREWALLS

Firewall technologies

• Components of a firewall
• What firewalls can and cannot do
• Using application proxies

Selecting firewall topology

• Providing \"defense in depth\"
• Siting the Web server

SECURITY MANAGEMENT

• Responding to security violations

Keeping up to date on new threats