top of page

SZKOLENIA

Nasza oferta szkoleniowa jest skierowana nie tylko do specjalistów IT, ale również do kadry zarządzającej oraz dla każdego pracownika organizacji, który ze względu na swoje obowiązki zawodowe ma styczność z infrastrukturą teleinformatyczną lub jej częścią. Po ukończeniu każdego szkolenia, jego uczestnicy otrzymują certyfikaty potwierdzające nabycie kompetencji w zakresie jego tematyki. Szkolenia prowadzą nasi wykładowcy z STM Academy.

Jesteś zainteresowany ofertą?

Napisz do nas!

[email protected]

SZKOLENIA PODSTAWOWE
 

SECURITY ESSENTIALS

Czas trwania szkolenia - 8 dni

Mawiają, że najlepszą obroną jest atak - z takiego założenia wychodzą też eksperci cyberbezpieczeństwa. W trakcie szkolenia nasi wykładowcy pokażą, jak wygląda bezpieczeństwo od "czerwonej" strony. Uczestnicy zyskają możliwość zapoznania się z podstawowym warsztatem Hackera, poznają podstawy komunikacji, systemu operacyjnego Linux oraz zrozumieją cele atakujących. Na koniec będą mieli możliwość zdobycia dostępu do świętego graala wszystkich hackerów - wykonania komend na serwerze wraz z eskalacją uprawnień. Uczestnicy dowiedzą się także, jak krok po kroku przeprowadzić test penetracyjny, jak szukać podatności, zarówno w sposób manualny, jak i automatyczny. Nie zabraknie też weryfikacji zakresu testu i przygotowywania raportu, w którym to adepci będą mogli pochwalić się swoimi znaleziskami.

Zakres szkolenia obejmuje:

1. PODSTAWOWE UMIEJĘTNOŚCI

- Command line basics​
- Bash basics​
- Client-Server model​
- Data transfer techniques​
- Reverse shells​
- Bind shells​
- Interactive shells

2. WPROWADZENIE DO PENTESTÓW:

- Network scanning​
- HTTP basics​
- Remote command execution​
- Automatic privilege escalation​
- Network pivoting​
- Backdoor detection​
- Reporting

3. BEZPIECZEŃSTWO APLIKACJI INTERNETOWYCH:

- Enumeration​
- Password security​
- Command injection​
- Client-side security​
- File upload security​
- SQL Injection​
- Template Injection​
- XML external entity injection​
- Cross-site scripting​
- Cross-Site Request Forgery​
- Local file inclusion​
- Remote file inclusion

4. ESKALACJA UPRAWNIEŃ:

- File permissions
- Sudo permissions
- Cron jobs misconfiguration
- Privileged containers
- Local services
- OS exploits

5. EKSPLOITACJA LOKALNA:

- SUID and capabilities
- Hardcoded data
- Buffer overflows
- Environment variables
- Side channel attacks
- Handling signals
- Symlinks
- Inherited file descriptors

SZKOLENIA
ZAAWANSOWANE

BEZPIECZEŃSTWO APLIKACJI WWW

Czas trwania szkolenia - 8 dni

Cyfryzacja pozwoliła nam na przeniesienie wielu aspektów naszego życia do Internetu, jednakże przyniosła ze sobą szereg nowych zagrożeń. Jeden mały błąd programisty może narazić użytkowników na szkodę, a firmie wygenerować wielomilionowe straty. Podczas naszego szkolenia uczestnicy w przystępny sposób zapoznają się z procesami niewidocznymi dla ludzkiego oka, które dzieją się, kiedy na przykład zlecamy przelew, logujemy się do urzędu, czy też szukamy przepisu na forum oraz związane z nimi zagrożenia. Dodatkowo praktyczne ćwiczenia, przygotowane przez naszych specjalistów, pozwolą na dogłębne utrwalenie przyswojonej wiedzy.

 

Zakres szkolenia obejmuje:

  1. Podstawy protokołu HTTP

  2. Enumeracja i rekonesans aplikacji webowych

  3. Uwierzytelnianie, autoryzacja i zarządzanie sesją

  4. HTML Injection i Cross-Site Scripting (XSS)

  5. Cross-Site Request Forgery (CSRF)

  6. Path Traversal i Local/Remote File Inclusion 

  7. SQL Injection i NoSQL Injection

  8. Command Injection (Command Injection) 

  9. Server-side Includes i Server-Side Template Injection (SSTI)

  10. Podatności związane z formatem XML (XXE)

  11. Server-Side Request Forgery (SSRF)

  12. Podatności związane z mechanizmem wgrywania plików (FIle Upload)

BEZPIECZEŃSTWO APLIKACJI MOBILNYCH

Czas trwania szkolenia - 5 dni

W dzisiejszych czasach coraz większa część życia użytkowników koncentruje się w urządzeniu mobilnym - Telefonie. Nasze szkolenie bierze ten, jakże znaczący aspekt pod lupę. W trakcie zajęć uczestnicy zapoznają się z dwoma najpopularniejszymi platformami (Android oraz iOS) od środka. Poruszymy też zagadnienia dotyczące nie tylko błędów, jakie popełniają programiści w swoim aplikacjach, ale również, jak struktura funkcjonowania mobilnych systemów operacyjnych pozwala na zaatakowanie użytkownika bez konieczności bezpośredniej interakcji z ich aplikacją bankową, sms'ową etc.

 

Zakres szkolenia obejmuje :

 1. Wprowadzenie:

- Ogólne przedstawienie konceptu aplikacji mobilnych (Podział na aplikację natywną / hybrydową / webową)

- Przegląd najpopularniejszych platform (Android / iOS)

- Podstawowe problemy związane z aplikacjami mobilnymi

- Dostępne narzędzia wykorzystywane w procesach weryfikacji bezpieczeństwa aplikacji

 

2. Android:

 

- Omówienie ekosystemu Android

- Przygotowanie urządzenia testowego - Android

- Czym jest APK, jak jest zbudowane?

- Dalvik, ART, JVM - ile tak naprawdę jest Javy w tej Javie

- Bezpieczeństwo Androida:

- Budowa aplikacji

- Komunikacja IPC i Deeplinks

- Bezpieczne przechowywanie danych

- Aplikacje Android - Threat Model

 

3. iOS:

 

- Omówienie ekosystemu Apple

- Przygotowanie urządzenia testowego - iOS

- Czym jest IPA, jak jest zbudowana?

-  Wstęp do O ObjC i Swiftcie

- Bezpieczeństwo iOS (Uprawnienia, Pamięć i ochrona danych, 3rd-party Keyboards, Code Signing, Secure Enclave Processor)

- Komunikacja IPC i Universal Links

- App Extensions

- iOS Keychain

- Aplikacje iOS - Threat Model

 

4. Perspektywa atakującego:

 

- Statyczna analiza aplikacji

- Dynamiczna analiza aplikacji

- Jak wykorzystywane są znalezione błędy:

    - Modyfikacja istniejącej aplikacji

    - Interakcja ze strony szkodliwego oprogramowania                       

BEZPIECZEŃSTWO SIECI I INFRASTRUKTURY 

Czas trwania szkolenia - 5 dni

Wiele firm implementuje zapory ogniowe, wydziela sieci DMZ czy też wprowadza wiele innych metod separacji sieciowej. A co jeśli atakujący już znalazł się w naszej sieci? Jak silna by ściana nie była, nie ochroni nas przed zagrożeniami z wewnątrz. Podczas szkolenia uczestnicy poznają metody wykorzystywane przez atakujących, którzy już znajdują się w naszej sieci. W trakcie szkolenia możliwe będzie zapoznanie się z metodami omijania autoryzacji urządzeń, "skakania" między sieciami, podszywania się pod istniejące urządzenia, a finalnie znalezienie intratnego celu i przejęcie nad nim pełnej kontroli.

 

Zakres szkolenia obejmuje:

  1. Ataki ARP Spoofing

  2. Atakowanie protokołu DHCP, Spoofing

  3. Bezpieczeństwo protokołu ICMP, ataki ICMP Redirect

  4. Techniki omijania NAC, MAC Filtering

  5. Bezpieczeństwo przełączników, ataki VLAN Hopping

  6. Bezpieczeństwo IPv6

  7. Ataki typu Replay Attack na przykładzie SMB

  8. Atakowanie sieci WiFi

  9. Skanowanie sieci w poszukiwaniu hostów

  10. Enumeracja maszyn, skanowanie w poszukiwaniu usług

  11. Eksploatacja znalezionych podatności

  12. Eskalacja uprawnień w systemach Windows i Linux

SZKOELNIA SPECJALISTYCZNE

WSTĘP DO ANALIZY MALWARE

Czas trwania szkolenia - 1 dzień

W dzisiejszych czasach atakujący używają jeszcze bardziej wyrafinowanych i zaawansowanych technik, aby zainfekować lub przejąć kontrolę nad naszymi urządzeniami, niż na początku naszego kontaktu z komputerem. Analitycy, aby być w stanie nadążyć za rozwijającym się przemysłem szkodliwego oprogramowania, muszą ciągle aktualizować swoją wiedzę. W trakcie szkolenia uczestnicy przygotują środowisko testowe, poznają zasady higieny pracy ze szkodliwym oprogramowaniem, a także zapoznają się z najpopularniejszymi metodami używanymi do analizy akcji wykonywanych przez oprogramowanie w kontrolowanych warunkach.

Zakres szkolenia obejmuje:

1. Przygotowanie środowiska do analizy statycznej i dynamicznej złośliwego oprogramowania

2. Podstawowa analiza statyczna (analiza pliku PE, przegląd importów, zasobów itp.)

3.  Podstawowa analiza dynamiczna (monitorowanie zmian wprowadzanych do systemu plików, rejestru, ruch w sieci (fakenet/inetsim))

4. Definiowanie Indicators of Compromise

5.  Zaawansowana analiza dynamiczna - instrumentalizacja i śledzenie wykonania kodu, w tym rozszyfrowanie zabezpieczonego ruchu sieciowego

6. Zaawansowana analiza statyczna - inżynieria wsteczna oprogramowania za pomocą narzędzia IDA lub Ghidra

7.  Zaawansowana analiza ruchu sieciowego - wyłączanie certificate-pinningu, konfiguracja transparentnego serwera proxy

WSTĘP DO RED TEAMING

ataki z wykorzystaniem fizycznych urządzeń, socjotechniki i malware 

Czas trwania szkolenia - 1 dzień

Obecnie, kiedy technologia rozwinęła się na tyle, że wyjątkowo poważne błędy muszą zostać popełnione przez programistów prawie z premedytacją, czlowiek dalej pozostaje najsłabszym ogniwem każdego systemu zabezpieczeń. Prawda, można prowadzić szkolenia, wartsztaty, ale nigdy nie wiemy jak nasz pracownik zachowa się w prawdziwej sytuacji. Dzięki szkoleniu Red Team, zespół bezpieczeństwa będzie gotowy, aby zawsze być krok do przodu przed atakującymi. Nasi eksperci pokażą, z jakich narzędzi i metod korzystają przestępcy, jak fabrykowane są maile phishingowe, jak omijane są zabezpieczenia antywirusowe oraz, jak prosto można podszyć sie pod już istniejącą infrastrukturę.

Zakres szkolenia obejmuje:

1. Podrzucanie złośliwych urządzeń w infrastrukturze organizacji :

 - pendrive’y

 - urządzenia typu HID

 - kable USB

 - podsumowanie i porady bezpieczeństwa

2. Instalacja złośliwych urządzeń w infrastrukturze organizacji

 - implanty sieciowe

 - implanty HDMI

 - ukrywanie implantów wewnątrz innych urządzeń

 - podsumowanie i porady bezpieczeństwa

3. Przykładowa Kampania Phishingowa:

- Enumeracja adresów e-mail
- Zabezpieczenia poczty elektronicznej:
   a.  SPF
   b.  DKIM
   c.  DMARC
- Zdalna kontrola nad zainfekowanymi komputerami
- Kradzież poświadczeń użytkownika na trzy różne sposoby:
   a.  Keylogger
   b.  DLL Injection
   c.  Fake Authentication
- Omijanie zabezpieczeń antywirusowych
- Omijanie firewall

ANALIZA KODU C I EKSPLOITACJA LOKALNA NA SYSTEMIE LINUX 

Czas trwania szkolenia - 1 dzień

Obecnie system operacyjny Linux stanowi większość działającej na świecie infrastruktury serwerowej. To tam - za terminalem wiele starych, lecz sprawdzonych rozwiązań pilnuje, aby użytkownicy mogli oglądać nasze strony, routery mogły przekazywać pakiety, a wszelkiego typu aplikacje mogły istnieć. Jednak, nawet i tam czai się wiele błędów, mogących zagrozić bezpieczeństwu każdej organizacji. W trakcie szkolenia nasi eksperci przygotują Was tak, abyście byli w stanie odnaleźć się w systemie Linux, samodzielnie zlokalizować, nauczyć się wykorzystywać, a finalnie naprawiać zarówno najpoluarniejsze, jak i najbardziej zaawansowane błędy, które po dziś dzień trapią nawet największe systemy. Podczas kursu zapoznacie się z buffer oraz integer overflow, znajdziecie zapisane na sztywno hasła, dowiecie się, jak uciec z wydzielonych środowisk, wykryjecie wycieki danych, poznacie, jak aplikacje i system operacyjny komunikują się oraz zmierzycie się z eksploitacją sterty. Razem zabezpieczymy świat.

Zakres szkolenia obejmuje:

1.  Omówienie bezpieczeństwa systemów Linux

2. Analiza działania powłok typu bash. Wytłumaczenie mechanizmu dziedziczenia (procesy)

3.  Identyfikacja oraz eksploitacja błędów typu:

   a.  buffer overflows

   b.  integer overflows

   c.  hardcoded passwords

   d.  relative paths

   e.  insecure signal handling

   f.   data leaks

   g.  heap exploitation

4.  Mitygacja powyższych błędów

SZKOLENIA DLA DEVELOPERÓW

  • Analiza kodu aplikacji Java

  • Analiza kodu aplikacji .NET

  • Analiza kodu aplikacji PHP

W ramach bloku zostaną omówione wybrane podatności typu Server-Side. Prezentujący pokażą zarówno błędy w samym kodzie źródłowym, jak i ich praktyczne wykorzystanie przez atakującego.  Dodatkowo omówione zostaną zagadnienia związane z bezpieczeństwem zależności oraz metodyką audytu kodu. Podsumowaniem tej części szkolenia będzie prezentacja najlepszych praktyk pisania bezpiecznego kodu wybranej technologii.

04 STM Academy Mural previev.jpg

Zadzwoń

662 141 800

Email 

Obserwuj nas

  • Facebook
  • LinkedIn
  • Instagram
bottom of page