Revision as of 13:20, 24 August 2010

The English version is here

OWASP AppSec Brasil 2010

A segunda edição da versão brasileira da série de conferências mais importante da OWASP ocorrerá em Campinas, SP. A conferência terá dois dias de treinamentos, seguidos de dois dias de conferência em trilha única.

Datas Importantes

A Conferência ocorrerá entre 16 e 19 de novembro de 2010. Os primeiros dois dias serão dedicados aos treinamentos. As plenárias ocorrerão em 18 e 19 de novembro de 2010.

Sobre

Sobre a Conferência

Dando prosseguimento ao sucesso da primeira AppSec Brasil, que ocorreu em Brasília em 2009, o Capítulo brasileiro do OWASP irá promover a segunda edição em 2010, na cidade de Campinas, a cerca de 90 km de São Paulo

Campinas é a terceira maior cidade do estado de São Paulo (e a maior fora da área metropolitana da Capital) e é um importante polo econômico, abrigando universidades e centros de pesquisa de renome internacional. A cidade também concentra muitas indústrias de alta tecnologia, incluindo multi-nacionais dos ramos de eletrônicos, telecomunicações e quimicos.

Este ano, esperamos reunir um número expressivo de profissionais e pesquisadores brasileiros e latino-americanos para compartilharem informações sobre o estado-da-arte da segurança de aplicações.

Chamadas de trabalhos

**PRORROGAÇÃO DE PRAZO PARA SUBMISSÕES - 23 de agosto**
**APPSEC BRASIL 2010**
**CHAMADA DE TRABALHOS**

O OWASP (Open Web Application Security Project) solicita propostas de apresentações para a conferência AppSec Brasil 2010,
que ocorrerá na Fundação CPqD em Campinas, SP, de 16 a 19 de novembro de 2010. Haverá mini-cursos nos dias 16 e 17, seguidos
de sessões plenárias detrilha única nos dias 18 e 19 de novembro de 2010.

Buscamos pessoas e organizações que queiram ministrar palestras sobre segurança de aplicações. Em particular destacamos os seguintes
tópicos de interesse:
 - Modelagem de ameaças em aplicações
 - Riscos de Negócio em Segurança de aplicações
 - Aplicações de Revisões de Código
 - Métricas Aplicadas a Segurança de Aplicações
 - Ferramentas e Projetos do OWASP
 - Tópicos de Privacidade em Aplicações e Armazenamento de Dados
 - Práticas de Programação Segura
 - Programas de Segurança para todo o Ciclo de Vida de aplicações
 - Tópicos de Segurança para tecnologias específicas (AJAX, XML, Flash, etc)
 - Controles de Segurança para aplicações Web
 - Testes de Segurança de aplicações Web
 - Segurança de Web Services ou XML

A lista de tópicos não é exaustiva; outros tópicos podem ser abordados, desde que em consonância com o tema central do evento.

Para submeter uma proposta, preencha o formulário disponível em http://www.owasp.org/images/6/68/OWASP_AppSec_Brasil_2010_CFP%28pt-br%29.rtf.zip,
que deve ser enviado através da página da conferência no site Easychair: http://www.easychair.org/conferences/?conf=appsecbr2010

Cada apresentação terá 45 minutos de duração, seguidos de 10 minutos para perguntas da platéia. Todas as apresentações deverão estar
em conformidade com as regras definidas pelo OWASP em seu "Speaker Agreement".

**Datas importantes:**
 A data limite para apresentação de propostas é 23 de agosto de 2010 às 23:59, horário de Brasília.
 A notificação de aceitação ocorrerá até o dia 8 de setembro de 2010.
 A versão final das apresentações deverá ser enviada até o dia 30 de setembro de 2010.

A comissão organizadora da conferência pode ser contatada pelo e-mail: [email protected]

Para mais informações, favor consultar as seguintes páginas:
 Página da conferência:
   http://www.owasp.org/index.php/AppSec_Brasil_2010_(pt-br)

 OWASP Speaker Agreement (em inglês):
   http://www.owasp.org/index.php/Speaker_Agreement

 Página do OWASP:
   http://www.owasp.org

 Página da conferência no Easychair:
   http://www.easychair.org/conferences/?conf=appsecbr2010

 Formulário para apresentação de propostas:

http://www.owasp.org/images/6/68/OWASP_AppSec_Brasil_2010_CFP%28pt-br%29.rtf.zip

********* ATENÇÃO: Não serão aceitas propostas sem TODAS as informações solicitadas no formulário *********

Favor divulgar a todos os possíveis interessados.

Chamada de mini-cursos

**APPSEC BRASIL 2010**
**CHAMADA DE MINI-CURSOS**

O OWASP (Open Web Application Security Project) solicita propostas de apresentações para a conferência AppSec Brasil 2010, 
que ocorrerá na Fundação CPqD em Campinas, SP, de 16 a 19 de novembro de 2010. Haverá mini-cursos nos dias 16 e 17, 
seguidos de sessões plenárias de trilha única nos dias 18 e 19 de novembro de 2010.

Buscamos pessoas e organizações que queiram ministrar mini-cursos sobre segurança de aplicações. 
Destacamos os seguintes tópicos de interesse:
  - Modelagem de ameaças em aplicações (Application Threat Modeling)
  - Riscos de Negócio em Segurança de aplicações (Business Risks with Application Security)
  - Aplicações de Revisões de Código (Hands-on Source Code Review)
  - Métricas Aplicadas a Segurança de Aplicações (Metrics for Application Security)
  - Ferramentas e Projetos do OWASP (OWASP Tools and Projects)
  - Tópicos de Privacidade em Aplicações e Armazenamento de Dados (Privacy Concerns with 
     Applications and Data Storage)
  - Práticas de Programação Segura (Secure Coding Practices)
  - Programas de Segurança para todo o Ciclo de Vida de aplicações (Secure Development Lifecycle Programs)
  - Tópicos de Segurança para tecnologias específicas (AJAX, XML, Flash, etc) (Technology specific presentations on 
     security such as AJAX, XML, etc)
  - Controles de Segurança para aplicações Web (Web Application Security countermeasures)
  - Testes de Segurança de aplicações Web (Web Application Security Testing)
  - Segurança de Web Services ou XML (Web Services, XML and Application Security)

A lista de tópicos não é exaustiva; outros tópicos podem ser abordados, desde que em consonância com o tema central do evento.

Para submeter uma proposta, preencha o formulário disponível em 
http://www.owasp.org/images/4/43/OWASP_AppSec_Brasil_2010_CFT%28pt-br%29.rtf.zip, que deve ser enviado por email 
para [email protected].

Cada mini-curso poderá ter 1 ou 2 dias (8 horas por dia) de duração e deverão estar em conformidade com as regras definidas 
pelo OWASP em seu "Speaker Agreement". A conferência pagará aos instrutores pelo menos 30% do fatuamente de seus mini-cursos. 
Cursos que consigam atrair mais que o número mínimo de alunos poderão receber percentagens maiores (mais detalhes abaixo). 
Não haverá qualquer outro tipo de remuneração (passagens, hospedagem, etc) para os apresentadores ou autores dos mini-cursos. 
Caso seja necessário um arranjo diferente, favor entrar em contacto com o comitê organizador pelo email abaixo.

**Remuneração**
  Os instrutores e autores dos cursos serão remunerados conforme a quantidade de alunos. Se o curso atrair apenas o número 
mínimo de alunos, a remuneração será 30% do faturamento. Para cada 10 alunos a mais, a remuneração será acrescida de 5% do 
faturamento, até um máximo de 45% do faturamento do curso. Por exemplo, para um curso de 1 dia para uma turma de 10 a 
19 alunos, os instrutores e autores receberão 30% do faturamento do curso. Para turmas entre 20 e 29 alunos, a remuneração 
sobe para 35% do faturamento e assim sucessivamente.

Em casos excepcionais, poderá ser acordado um esquema diferente para remuneração dos instrutores. Possíveis interessados 
devem entrar em contato com a comissão organizadora pelo email [email protected]

**Valores das inscrições**
  Cursos de 1 dia:  R$ 450 por aluno
  Cursos de 2 días: R$ 900 por aluno 

**Mínimo de alunos**
  10 alunos para cursos de 1 dia
  20 alunos para cursos de 2 dias

**Datas importantes:**
  A data limite para apresentação de propostas é 26 de julho de 2010 às 23:59, horário de Brasília.
  A notificação de aceitação ocorrerá até o dia 16 de agosto de 2010.
  A versão final do material dos mini-cursos deverá ser enviada até o dia 15 de setembro de 2010.

A comissão organizadora da conferência pode ser contactada pelo e-mail: [email protected]

Para mais informações, favor consultar as seguintes páginas:
 Página da conferência: http://www.owasp.org/index.php/AppSec_Brasil_2010_(pt-br)
 OWASP Speaker Agreement (em inglês): http://www.owasp.org/index.php/Speaker_Agreement
 Página do OWASP: http://www.owasp.org
 Página da conferência no Easychair: http://www.easychair.org/conferences/?conf=appsecbr2010
 Formulário para apresentação de propostas: http://www.owasp.org/images/4/43/OWASP_AppSec_Brasil_2010_CFT%28pt-br%29.rtf.zip

********* ATENÇÃO: Não serão aceitas propostas sem TODAS as informações solicitadas no formulário *********

Favor divulgar a todos os possíveis interessados.

Patrocínio

Estamos atualmente buscado patrocinadores para a edição 2010 da AppSec Brasil. Veja mais detalhes sobre as oportunidades de patrocínio.

Se estiver interessado em patrocinar o AppSec Brasil 2010, por favor entre em contato com a equipe organizadora da conferência pelo email [email protected].

Patrocinadores

Patrocinadores Platinum

Patrocinadores Gold

Patrocinadores Silver

Patrocinadores do kit da conferência

Promoção

Keynotes

Robert 'Rsnake' Hansen

SecTheory

Title: TBD.

Bio: Robert Hansen, também conhecido como RSnake, é o fundador e CEO da empresa SecTheory. Trabalhou para empresas como Digital Island, Exodus Communications e Cable & Wireless ocupando diversos cargos desde Arquiteto de Segurança Sênior e eventualmente como gerente de produtos de diversos serviços da linha de serviços gerenciados de segurança. Também trabalhou no eBay como Gerente Global Sênior para Confiança e Segurança, focando em anti-phishing, anti-malware de DHTML e estratégias de anti-vírus. Posteriormente ele trabalhou como Diretor de Gerenciamento de Produtos para o site Realtor.com. Robert é membro do conselho consultivo para o Grupo Intrepidus, e anteriormente era membro do conselho consultivo técnico da ClickForensics e atualmente contribui para a estratégia de segurança de diversas companhias startup.

O Sr. Hansen escreveu o livro Detecting Malice, publica conteúdo para a O'Reilly e é co-autor do livro XSS Exploits da editora Syngress. Ele é membro do grupo do NIST.gov para Métricas de Garantia de Software e Avaliação de Ferramentas com foco em scanners de segurança de aplicações e membro do grupo de Critérios de Avaliação de Scanners para Segurança de Aplicações (WASC-WASSEC). Passou instruções ao Departamento de Defesa no Pentágono e é palestrante em conferências como SourceBoston, Secure360, GFIRST/US-CERT, CSI, Toorcon, APWG, ISSA, TRISC, conferências mundias da OWASP/WASC, SANS, Microsoft Bluehat, Blackhat, DefCon, SecTor, BSides, Networld+Interop e foi um keynote speaker na Conferência de CyberSegurança de Nova York, NITES e OWASP AppSec Asia. O Sr. Hansens é um membro da Ingragard, West Austin Rotary, WASC, IACSP, APWG, contribui para o guia OWASP 2.0 e está no Comitê de Conexões da OWASP.

Robert também mantém o site http://ha.ckers.org onde discute sobre segurança de aplicações web e provê muitas informações úteis que podem ser usadas contra ataques de aplicações web.

Jeremiah Grossman

WhiteHat Security

Título: A definir.

Bio: Jeremiah Grossman, fundador e CTO da WhiteHat Security, é um especialista em segurança web. É co-fundador do Web Application Security Consortium (WASC), foi escolhido pela InfoWorld um dos Top 25 CTOs em 2007 e é frequentemente citado em publicações técnicas ou de negócios. Publicou dezenas de artigos, foi o descobridor de várias técnicas avançadas de ataque e defesa e é co-autor do livro "XSS Attacks: Cross Site Scripting Exploits and Defense." Grossman é também um blogueiro influente que oferece idéias e encoraja um dálogo franco sobre pesquisas e tedências da segurança na web. Antes da WhiteHat, Grossman foi um "information security officer" no Yahoo!

Palestras Convidadas

Samy Kamkar

Título: How I Met Your Girlfriend: A descoberta e execução de classes inteiramente novas de ataques na Web, a fim de encontrar sua namorada.

Resumo: Esta apresentação inclui ataques divertidos e recém-descobertos, incluindo a previsão de sessão e números aleatórios em PHP (adivinhar cookies de sessão PHP com precisão), browser protocol confusion (transformando um browser em um servidor SMTP), penetração em firewall e NAT via Javascript (transformar o seu roteador contra você), sequestro remoto do Google Maps no iPhone (invasão do iPhone combinado com man-in-the-middle em HTTP), extração de informações de geolocalização extremamente precisa de um navegador da Web (sem usar IP geolocation), e muito mais.

Biografia: Samy Kamkar é mais conhecido pelo worm Samy, o primeiro worm XSS, que infectou mais de um milhão de usuários no MySpace, em menos de 24 horas. É co-fundador da Fonality, Inc., uma empresa de PBX IP, Samy anteriormente liderou o desenvolvimento do software de todos os servidor de nomes de domínio (top-level domains) e sistemas para a Global Domains International (.ws).

Nos últimos 10 anos, Samy tem-se centrado no desenvolvimento de algoritmos evolutivos e genéticos, desenvolvimento de software para voz-sobre-IP, segurança automatizada e pesquisa de vulnerabilidades de segurança de rede, engenharia reversa, e jogos em rede. Quando não está amarrado por trás da Matrix, Samy está envolvido em projetos de serviços da comunidade local.

Mano Paul

Título: TBD.

Biografia: Manoranjan (Mano), Paul é o Consultor de Software Assurance para o (ISC)2. Sua experiência em Segurança da Informação e Software Assurance inclui projetar e desenvolver programas de segurança para complience-to-coding, segurança no SDLC, escrever código seguro, gestão de riscos, estratégia de segurança e treinamento e educação em conscientização de segurança. Ele fundou e serve como CEO e Presidente da Express Certifications. Ele também fundou SecuRisk Solutions, uma empresa especializada no desenvolvimento de produtos de segurança e consultoria.

Agenda

Programa da Conferência - Dia 1 - 18 de novembro de 2010

Programa da Conferência - Dia 2 - 19 de novembro de 2010

Treinamentos

Codificação Segura em Aplicações J2EE

Atenção: Este treinamento será ministrado em inglês SEM tradução simultânea.

Data e horário: 16 e 17 de Novembro (9 às 18 horas)
Instrutor: Jason Li

Resumo
A capacitação de desenvolvedores nas práticas de programação segura oferece o mais alto retorno de investimento em meio a todo o orçamento de segurança, através da eliminação de vulnerabilidades diretamente no código. O curso Aspectos de Programação Segura JAVA EE faz crescer a noção de questões relativas segurança de aplicações em meio aos desenvolvedores e fornece exemplos de “o que fazer” e “o que não fazer”. O curso é ministrado por um desenvolvedor experiente e apresentado de maneira bastante interativa. Este curso inclui exercícios “mão-na-massa” onde os alunos são chamados a executar análises e testes de segurança em uma aplicação Web Java EE real. Este ambiente especialmente planejado inclui falhas intencionais as quais os alunos deverão encontrar, diagnosticar e corrigir. O curso também faz uso de exercícios de programação Java EE, de forma a fornecer aos alunos uma experiência realista e “mão-na-massa” de desenvolvimento seguro. Os alunos obtêm essa experiência “mão-na-massa” usando ferramentas de teste de segurança de aplicações Web, disponíveis gratuitamente, de forma a buscar e diagnosticar falhas e aprender a evitá-las em seu próprio código.

Público Alvo
O publico esperado para este curso é composto por desenvolvedores de aplicações JAVA EE e por testadores que possuam conhecimentos de programação.

Objetivos de Aprendizado

O objetivo maior do curso é assegurar que os desenvolvedores são capazes de projetar, construir e testar aplicações seguras Java EE e compreender a importância da segurança no processo.

Tópicos

• Aprendendo os Fundamentos Objetivos do HTTP
  
  • Compreender e ser capaz de empregar as características de segurança

envolvidas no uso do HTTP (e.g., cabeçalhos, cookies, SSL).

• Princípios e Padrões de Projeto
  
  • Compreender e ser capaz de aplicar os princípios de projeto de

segurança de aplicação.

• Ameaças
  
  • Ser capaz de identificar e explicar as ameaças comuns à segurança de

aplicações Web (cross-site scripting, SQL injection, ataques de “denial of service”, ataques de "Man-in-the-middle", etc.) e implementar técnicas para mitigar o risco.

• Autenticação e Gerência de Sessão
  
  • Ser capaz de tratar credenciais de forma segura, ao fornecer um leque

completo de suporte a funções de autenticação, incluindo login, troca, esquecimento e recuperação de senha, logout, re-autenticação e expiração de sessão.

• Controle de Acesso
  
  • Ser capaz de implementar regras de controle de acesso à interface de

usuário, lógica de negócio e camada de dados.

• Validação de Campos
  
  • Ser capaz de reconhecer problemas potenciais na validação de campos,

particularmente problemas de injection e Cross-site Scripting (XSS), e implementar os mecanismos apropriados de validação de campos informados pelo usuário ou obtidos a partir de outras fontes de entrada.

• Injeção de Comandos
  
  • Compreender os perigos da injeção de comandos e as técnicas para

evitar a introdução deste tipo de vulnerabilidade.

• Tratamento de Erros
  
  • Ser capaz de implementar um tratamento consistente de erros (exceções)

e um esquema de log para a aplicação Web como um todo.

• Criptografia
  
  • Aprender em quais situações de deve aplicar técnicas de criptografia e

ser capaz de escolher algoritmos, usar criptografia/decriptografia e funções de hash de forma segura.

O Instrutor
Jason é um instrutor notável, tendo comandado cinco diferentes cursos no período de um ano para nossos principais e diversos clientes de longa data. A base de clientes inclui uma grande instituição financeira, diversas empresas líderes do ramo de encomendas e logística e um líder na integração de sistemas governamentais.

Jason também já ministrou os cursos Testando a Segurança de Aplicações Web Anvançado e Construindo Aplicações Web Seguras na conferência OWASP 2008, na Bélgica e Índia.

Elogios comuns encontrados nas avaliações dos cursos de Jason incluem “Este é provavelmente um dos cursos mais importantes aos quais já fui exposto aqui”e “Um dos melhores instrutores que já tive. Um conhecimento efetivo do assunto. Manteve a turma interessada através do compartilhamento de exemplos pessoais reais os quais descreveram bons cenários”.

Utilizando a API de segurança OWASP ESAPI (Enterprise Security API) para prover segurança em aplicações Web

Treinamento em português.

Data e horário: 16 de Novembro (9 às 18 horas)
Instrutor: Tarcizio Vieira Neto

Resumo

A evolução da tecnologia no desenvolvimento de aplicações WEB tem contribuído com o aumento significativo do uso dessa tecnologia para atender os mais diversificados propósitos. Porém, essa tecnologia está sujeita a vulnerabilidades de segurança críticas, principalmente quando pesquisas recentes apontam que a maioria das vulnerabilidades estão presentes na própria aplicação. A biblioteca ESAPI (Enterprise Security API), da OWASP, surge neste cenário como uma biblioteca de segurança open source disponível para diversas linguagens, como Java EE, PHP, .NET, ASP Clássico, Python, Ruby, entre outras. O minicurso abordada as vulnerabilidades causadas por erros comuns no desenvolvimento de aplicações e os mecanismos de controle de segurança providos pela biblioteca ESAPI com o foco na tecnologia Java. Os princípios gerais aprendidos no curso podem ser aplicados no contexto das demais linguagens de programação.

Público Alvo

O perfil desejado de audiência são pessoas ligadas à área de desenvolvimento e segurança de aplicações Web, tendo como pré-requisito conhecimentos básicos em tecnologias Web, protocolos de comunicação HTTP e HTTPs, princípios básicos de segurança: criptografia, hash e assinatura digital, programação Java para sistemas Web.

Objetivos de Aprendizado

• Conhecer as principais vulnerabilidades de segurança comumente encontradas em aplicações Web.
• Apresentar a arquitetura da biblioteca ESAPI e o funcionamento de seus módulos com exemplos em código Java associados.
• Apresentar o componente Web Application Firewall da ESAPI.

Tópicos

1. Introdução
   1. Mitos relacionados à segurança em Aplicações Web
   2. Projeto OWASP
2. OWASP Top 10
3. Biblioteca OWASP ESAPI
   1. Módulo de Validação e Codificação
   2. Módulo de Autenticação
   3. Módulo de Controle de Acesso
   4. Módulo de utilitários HTTP
   5. Módulo de tratamento de referência de acesso
   6. Módulo de Criptografia
   7. Módulo de Log
   8. Módulo de Detecção de Intrusão
   9. Integrando o módulo AppSensor com a ESAPI
   10. Utilizando Filtros
   11. Configurando a ESAPI
   12. Módulo Web Application Firewall da ESAPI
4. Vantagens do Uso da Biblioteca ESAPI
5. Conclusões

O Instrutor

Tarcizio Vieira Neto é graduado em Ciência da Computação pela Universidade Federal de Goiás (UFG), em Goiânia. Começou a carreira de desenvolvedor como estagiário em um projeto de iniciação tecnológica financiado pelo CNPq na empresa Estratégia, em Goiânia. Após concluir a graduação trabalhou por seis meses na empresa Fibonacci Soluções Ageis, na mesma cidade, no cargo de analista de desenvolvimento. Em seguida trabalhou por dois anos e oito meses na Força Aérea Brasileira como oficial analista de sistemas do quadro complementar no Centro de Computação da Aeronáutica de Brasília, onde adquiriu experiência com a tecnologias de certificação digital e colaborou no desenvolvimento de um sistema corporativo de gestão eletrônica de documentos.

Atualmente trabalha no SERPRO desde novembro de 2009 como Analista de Desenvolvimento, na Coordenação Estratégica de Tecnologia – CETEC, desenvolvendo trabalhos sobre o tema segurança no desenvolvimento de software, desde novembro de 2009, onde dedica-se prioritariamente na elaboração de guias que padronizam técnicas e ferramentas que dão suporte à segurança no desenvolvimento de aplicações Web. Está cursando o curso de especialização em segurança da informação pela Universidade de Brasília (UnB) e possui ao todo mais de 5 anos de experiência com programação em Java.

A arte e a ciência da modelagem de ameças de applicações web

Atenção: Este treinamento será ministrado em inglês SEM tradução simultânea.

Data e horário: 17 de Novembro (9 às 18 horas)
Instrutor: Mano Paul

Resumo

Para manter a sua casa segura, você primeiro precisa saber como o ladrão poderia entrar e sair e onde você deve armazenar o seus valores. O mesmo é verdade para as suas aplicações web. A menos que você saiba quais as vulnerabilidades e ameaças para seus aplicativos web, e quais medidas de segurança que você deve tomar para protegê-los, invasores ou o inimigo dentro (insider) poderiam tirar proveito das vulnerabilidades.

Modelagem de Ameaças é uma técnica que você pode usar para identificar ATVS (ataques, ameaças, vulnerabilidades e garantias) que poderiam afetar suas aplicações web. Modelagem de ameaças ajuda a projetar sua aplicação de forma segura a partir de uma perspectiva de confidencialidade, integridade, disponibilidade, autenticação, autorização e auditoria. É uma atividade essencial a ser realizada durante a fase de concepção do seu SDLC e ajuda a reduzir e minimizar o risco global.

Público Alvo

O público alvo é composto por pessoal técnico e gerencial de organizações de desenvolvimento de sistemas, sem requisitos de conhecimento de linguagens ou metodologias de propogamação especificos.

Objetivos de Aprendizado

1. Entender modelagem de maeaças: quando fazê-la e quando não fazê-la
2. Traduzir ameaças em riscos para a organização
3. Divirta-se aprendendo conceitos complexos com exercícios e jogos interativos

Tópicos

1. Introdução
2. Por que fazer modelagem de ameaças?
3. Modelagem de ameaças é adequado para você?
4. Desafios
5. Precursores
6. Classificação de dados e modelagem de ameaças
7. Mecanismos de segurança de aplicações web
8. Benefícios da modelagem de ameaças
9. Glossário de termos
10. Agentes de ameaça
11. OWASP Top 10 ataques comuns a aplicações
12. O processo de modelagem de ameaças
13. Árvores de ataques (attack trees)
14. Frameworks de ameaças e riscos e.g., STRIDE and DREAD
15. Truduzir de ameaças para riscos
16. Modelagem de ameaças (exercícios hans-on)

O Instrutor

Manoranjan (Mano), Paul é o Consultor de Software Assurance para o (ISC)2. Sua experiência em Segurança da Informação e Software Assurance inclui projetar e desenvolver programas de segurança para complience-to-coding, segurança no SDLC, escrever código seguro, gestão de riscos, estratégia de segurança e treinamento e educação em conscientização de segurança. Ele fundou e serve como CEO e Presidente da Express Certifications. Ele também fundou SecuRisk Solutions, uma empresa especializada no desenvolvimento de produtos de segurança e consultoria.

Segurança em Arquitetura Orientada a Serviço

Treinamento em português.

Data e horário: 17 de Novembro (9 às 18 horas)
Instrutores: Douglas Rodrigues, Julio Cesar Estrella e Nuno Manuel dos Santos Antunes

Resumo

Web services são a pedra angular de Arquiteturas Orientadas a Serviços (SOA). Como componentes críticos de negócios, Web Services devem apresentar alta segurança. No entanto, a implantação de Web Services seguros é uma tarefa complexa. De fato, diversos estudos mostram que um grande número de Web Services são implantados com falhas de segurança que vão desde vulnerabilidades de código (por exemplo, vulnerabilidades que permitem a injeção de código, incluindo SQL Injection e XPath Injection) até a utilização incorreta das normas e protocolos de segurança. O objetivo desse minicurso é o de apresentar de forma teórica e prática ferramentas que permitem a detecção de vulnerabilidades e mecanismos e protocolos de segurança contra ataques.

Público Alvo

O público alvo é composto por pessoal técnico e operacional de organizações de desenvolvimento de sistemas, com requisitos de conhecimento de linguagens ou metodologias de propogamação especificos em nível intermediário.

Objetivos de Aprendizado

O minicurso proposto contribui para agregar novas tendências tecnológicas. O tema é bastante interessante no tocante aos grandes desafios da pesquisa em computação, uma vez que se insere de forma natural dentro do desenvolvimento tecnológico de qualidade, englobando por sua vez, sistemas disponíveis, corretos, seguros, escaláveis, persistentes e ubíquos, além de notoriamente, observando-se as conferências da área, que SOA, Web Services e segurança constituem tema de crescente investigação na área de computação, pois é atual e de interesse da comunidade acadêmica, bem como de profissionais que atuam amplamente no mercado de trabalho. O interesse por SOA tem crescido nos últimos anos por se tratar de uma abordagem que ajuda os sistemas a permanecerem escaláveis e flexíveis enquanto crescem, e que também pode auxiliar a resolver a lacuna negócio/TI. Os estudantes e profissionais da área terão a oportunidade de compreender os princípios básicos de detecção de vulnerabilidade em nível de código e também a detecção de ataques por meio de protocolos e mecanismos. A idéia é que os participantes possam utilizar o breve conhecimento adquirido neste minicurso para o desenvolvimento de aplicações distribuídas usando Web Services seguros e obterem conhecimento necessário para diagnosticar e prevenir ataques a esse tipo de aplicação.

Tópicos

1. PADRÕES E PROTOCOLOS DE SEGURANÇA PAR WEB SERVICES
2. ATAQUES EM WEB SERVICES
   1. Ataques de Negação de Serviço (Denial of Service)
   2. Ataques de Força Bruta (Brute force)
   3. Ataques Spoofing
   4. Ataques de Inundação (Flooding)
   5. Ataques por Injeção
3. AVALIANDO SEGURANÇA EM WEB SERVICES
   1. Estudo de campo sobre segurança em Web Services
   2. Análise “White-box”
   3. Teste “Black-box”
   4. Teste “Gray-box”
   5. Estudo de campo sobre a eficácia de ferramentas de avaliação de segurança

O Instrutor

Júlio Cesar Estrella - Cursou Mestrado em Ciência da Computação e Matemática Computacional, na área de Sistemas Distribuídos (Instituto de Ciências Matemáticas e de Computação ICMC / Universidade de São Paulo – USP). Durante o Mestrado, trabalho com simulação de redes de filas em um projeto relacionado ao desenvolvimento de técnicas de negociação em modelos de servidores web com diferenciação de serviços. Doutor em Ciência da Computação e Matemática Computacional (Instituto de Ciências Matemáticas e de Computação ICMC / Universidade de São Paulo – USP). O tema do projeto de doutorado versou sobre arquiteturas orientadas a serviços com suporte à QoS, bem como caracterização de cargas de trabalho para Web Services e Composição de Serviços também com suporte à Qualidade de Serviço. Atualmente é professor da Universidade Tecnológica Federal do Paraná (UTFPR - Campo Mourão)

Douglas Rodrigues - Mestrando em Ciências de Computação e Matemática Computacional pelo Instituto de Ciências Matemáticas e de Computação da Universidade de São Paulo - ICMC-USP/São Carlos. Bacharel em Ciência da Computação pelo Centro Universitário Eurípides de Marília - UNIVEM - Marília/SP. Atua principalmente nos seguintes temas: SOA, Web Services, avaliação de desempenho, criptografia e segurança.

Nuno Manuel dos Santos Antunes - frequentou, entre 2003 e 2007, a Licenciatura em Engenharia Informática no Departamento de Engenharia Informática da Universidade de Coimbra. Desde 2008 que exerce investigação científica no grupo de Software and Systems Engineering (SSE) do Centro de Informática e Sistemas da Universidade de Coimbra (CISUC), em tópicos relacionados com metodologias e ferramentas para o desenvolvimento de Web Services sem vulnerabilidades. Concluiu em 2009 o Mestrado em Engenharia Informática no Departamento de Engenharia Informática da Universidade de Coimbra, com a classificação final de Muito Bom. Em 2009 iniciou o seu Doutoramento em Ciências e Tecnologias da Informação. Publicou 5 artigos científicos em conferências com processo de revisão pelos pares rigoroso, incluindo artigos nas conferências mais prestigiadas das áreas de confiabilidade e serviços.

Revisões de Segurança de Sistemas ASP.NET nos modos "black box" e "white-box" usando a plataforma OWASP O2

Este treinamento será ministrado em português usando materiais em inglês.

Data e horário: 16 de Novembro (9 às 18 horas)
Instrutor: Dinis Cruz

Resumo

Este é um treinamento hands-on sobre como usar a plataforma OWASP O2 para fazer revisões de caixa-preta (black-box) e caixa-branca (white-box) em aplicações web ASP.NET

O curso é destinado a consultores de segurança / colaboradores que são responsáveis por executar testes de penetração ou revisões de segurança de código. O curso vai mostrar exemplos práticos de como usar o OWASP O2 para encontrar, explorar e documentar vulnerabilidades de segurança.

Para os laboratórios do curso, uma série de testes e aplicações/frameworks do mundo real serão utilizados. A fim de dar aos alunos um ambiente de teste benigno que é fácil de reproduzir, a aplicação bancária (vulnerável-por-projeto) HacmeBank ASP.NET será usada durante todo o curso.

Tópicos

• O que é a plataforma OWASP O2 e como utilizá-la:
• Usando os testes de unidade do O2 para explorar e navegar na web
• Usando os testes de unidade do O2 para explorar a web
• Entendendo e usando as ferramentas de automação web do O2 para encontrar vulnerabilidades no HacmeBank (caix-preta)
• Entendendo e usando o scanner AST .NET do O2 para encontrar vulnerabilidades no HacmeBank (caixa-branca)
• Conectando os traces do código fonte com os exploits para criar uma visão unificada das vulnerabilidades
• Criando 'testes de unidade direcionados a vulnerabilidades' para entregar aos desenvolvedores, testadores ou gerentes
• Customizando e escrevendo novas APIs (para frameworks novos ou modificados)
• Usando o O2 para consumir resultados de ferramenmtas de código aberto ou comerciais
• Estudo de caso: Microsoft ASP.NET MVC
• Estudo de caso: Microsoft Sharepoint

O Instrutor

Este curso será ministrado por Dinis Cruz, que é o líder do projeto OWASP O2 e já criou e entregou muitos cursos de segurança em .NET. Dinis é também um membro do Board do OWASP, além de ser reconhecido mundo afora como um especialista na área de segurança de software, principalmente de aplicações .NET.

Local dos treinamentos

Veja a aba Local.

Local

A conferência será em Campinas, SP, na Fundação CPQD.

Veja a localização no Google Maps

Como chegar

TBD

Inscrições

Inscrições online

O formulário de inscrição está disponível em https://creator.zoho.com/lucas.ferreira/appsec/.

Valores

Apenas a conferência (dias 18 e 19/11):

• Antes de 16 de setembro: R$ 400,00
• Antes de 16 de outubro: R$ 500,00
• Antes de 12 de novembro: R$ 550,00
• No local: R$ 600,00

As inscrições no local estarão sujeitas à disponibilidade de lugares.

Treinamentos

• Um dia: R$ 450,00
• Dois dias: R$ 900,00

Descontos

• Membro do OWASP: R$ 100,00 (Nota: Este desconto é maior do que a taxa anual de USD 50.00. Confira aqui
• Estudantes: R$ 100.00 (Nota: Será necessário apresentar comprovante de matrícula).

Organização

Comitês

OWASP Global Conferences Committee Chair: Mark Bristow

Líder do Capítulo Brasileiro: Wagner Elias

Comissão organizadora do AppSec Brasil 2010 (organizacao2010 at appsecbrasil.org):

• Conference General Chair: Lucas C. Ferreira
• Tutorials Chair: Eduardo Camargo Neves
• Tracks Chair: Luiz Otávio Duarte
• Local Chair: Alexandre Melo Braga

Equipe

• Alexandre Melo Braga
• Eduardo Camargo Neves
• Lucas C. Ferreira
• Luiz Otávio Duarte
• Wagner Elias
• Eduardo Alves Nonato da Silva
• Leonardo Buonsanti
• Dinis Cruz
• Paulo Coimbra

Comitê de Programa

• Alexandre Braga
• Carlos Serrao
• Eduardo alves
• Fernando Cima
• Leonardo Buonsanti
• Lucas Ferreira
• Luiz Duarte
• Nelson Uto
• Rodrigo Rubira
• Wagner Elias

Hospedagem

TBD

Links

Blog: http://blog.appsecbrasil.org

Twitter: http://twitter.com/owaspappsecbr

Notícias

Portal G1