Detail kurzu
Bezpečnost webových aplikací v praxi – OWASP Top 10 a API
ICT Pro s.r.o.
Údaje aktualizovány 12. 11. 2026
Popis kurzu
OWASP Top 10, secure design a ochrana REST a SOAP API od řízení přístupu přes injekce a autentizaci až po SSRF, logování a správu závislostí.
Obsah kurzu
Úvod do aplikační bezpečnosti Mentalita útočníka a principy secure mindsetu Shrnutí známých reálných incidentů a dopadů Seznámení s projektem OWASP a významem Top 10 Vztah k DevSecOps a bezpečnostní kultuře ve firmě A01: Broken Access Control Proč vznikají chyby v řízení přístupu Nejčastější typy chyb: IDOR, chybějící kontroly na úrovni serveru Příklady reálných incidentů a nesprávných implementací Prevence a detekce nedostatečné kontroly přístupů A02: Cryptographic Failures Selhání v šifrování přenosu a ukládání dat Chyby v používání algoritmů, nesprávná implementace TLS Špatné ukládání hesel a hashovacích funkcí Doporučení pro ukládání, transport a správu citlivých dat A03: Injection Typy injekčních útoků: SQL, OS, LDAP, NoSQL Vstupy bez validace a jejich průnik do interpretrů Vliv frameworků na vkládání hodnot do dotazů nebo příkazů Techniky prevence a bezpečného zpracování vstupů A04: Insecure Design / SSDLC Rozdíl mezi chybou návrhu a implementace Principy bezpečného návrhu (secure-by-design) Threat modeling a identifikace rizik v rané fázi vývoje Vzory bezpečných návrhů a příklady jejich použití Zpětná kontrola návrhu vs. dodatečná oprava zranitelnosti A05: Security Misconfiguration Nejčastější slabiny v konfiguračních souborech a nástrojích Defaultní účty, otevřené porty, chybějící hlavičky, špatné CORS Význam bezpečných výchozích hodnot Automatizované skenování a kontrola konfigurace A06: Vulnerable and Outdated Components Rizika závislosti na starších verzích knihoven a modulů Identifikace zranitelností pomocí CVE, SBOM Proces aktualizací a řízení závislostí Důležitost testování po aktualizaci A07: Identification and Authentication Failures Prolomení hesel, session hijacking, slabá autentizace Špatně nastavené cookies, neobnovované tokeny Význam vícefaktorové autentizace (MFA) Odlišnosti v autentizaci u klasických aplikací a API A08: Software and Data Integrity Failures Neověřené moduly, aktualizace a dodavatelské řetězce Integrita build procesů (CI/CD) Signování kódu a aktualizací Důvěra v externí repozitáře a knihovny A09: Security Logging and Monitoring Failures Co a kdy logovat z pohledu bezpečnosti Vztah k forenzní analýze a detekci incidentů Nejčastější chyby: absence logů, nechráněné logy Základy integrace do SIEM a alertingu A10: Server-Side Request Forgery (SSRF) Princip SSRF a proč je stále častější Příklady chyb při zpracování uživatelských URL nebo webhooků Možnosti zneužití v cloudu nebo interních sítích Ochranné mechanismy (allowlist, metadata blocking) Bezpečnost REST a SOAP API Rozdíly mezi klasickou aplikací a REST/SOAP rozhraním Vstupy, autentizace a autorizace na úrovni API Problémy s rate limitingem, pagination, IDOR, HPP Management tokenů a datová izolace mezi tenanty Propojení s OWASP API Top 10 a dopady do návrhu https://www.skoleni-ict.cz/kurz/Bezpecnost-webovych-aplikaci-v-praxi-OWASP-Top-10-a-API-HCK4.aspxCílová skupina
- Vývojáři backendu a fullstacku - QA a bezpečnostní testeři aplikací - DevOps / SRE odpovědní za nasazení a konfigurace - Architekti softwaru a návrháři řešení - Bezpečnostní analytici a incident response týmy
Certifikát
Osvědčení o úspěšném absolvování kurzu.
Poznámka k ceně
Cena zahrnuje služby školitele, výukové materiály a osvědčení o absolvování.
Hodnocení
Organizátor
Podobné kurzy
podle názvu a lokality