CYBERSECURITY ACADEMY

Il percorso integra la didattica d’aula con una costante interazione con i docenti esperti, per rendere l’apprendimento più concreto ed efficace e più vicino alla realtà operativa vissuta dai partecipanti. Viene proposto l’inquadramento teorico-concettuale dei temi trattati, alternato con esercitazioni, analisi di esperienze, simulazioni pratiche e lavori su best practices.

L’obiettivo della proposta formativa è la creazione di figure professionali di informatici in grado di inserirsi nell’attuale contesto lavorativo nazionale e internazionale del settore informatico della produzione e dei servizi. A tale scopo, i discenti saranno in grado di proporre, sviluppare e valutare, operando sia in autonomia sia in team, soluzioni informatiche effettive, efficienti e affidabili in diversi ambiti applicativi.

Modulo 1: L’Hacker

• Nella mente di un hacker
• Vari tipi di malware e come funzionano
• Il funzionamento degli antivirus
• In che modo gli hacker scavalcano gli antivirus
• Canali di distribuzione più utilizzati
• Adottare misure proattive e retroattive per proteggersi da infezioni § Ripulire il computer da malware
• Operazione Honeypots
• Che modo rintracciare l’hacker
• Come ti rubano la password
• Anonimato e protezione dati sensibili
• Pericoli delle reti wi-fi che non ti aspetti
• DeepWeb, DarkNet e Bitcoin

Modulo 2: La difesa tradizionale

• Protezione fisica degli apparati
• Asset Catalog/Management e censimento dispositivi/reti
• La protezione perimetrale e la compartimentazione
• Il Firewall
• Antivirus
• Proxy
• Il Reverse Proxy
• Black List / White List
• Back-up e Recovery, Disaster Recovery e Business Continuity § Protezione logica dei dispositivi/apparati

Modulo 3: La difesa proattiva

• Next Generation Firewall (NGFW) § Web-Filtering
• Virtual Switching System (VSS)
• Full packet Capture (FPC)
• Anti DDOS, bilanciatori, Web Application Firewall (WAF) § Cyber Threat Intelligence
• Continuous Vulnerability Assessment (VA)
• Analisi del percorso d’attacco
• L’importanza della protezione dell’endpoint § Sandbox in-line e on demand
• DLP (Data Loss Prevention)
• File Integrity checker
• Login avanzati: Autenticazione multi-step e multi-fattore § Penetration test (PT)
• Machine learning e Behavioural Analysis
• Il controllo del patching e delle policy
• Deception

Modulo 4 : Il soc come strumento di protezione dell’infostruttura

• SOC, CERT, CSIRT
• Principi, strategie e best practice per un SOC di successo
• Cyber Security Framework (Identify, Protect, Detect, Respond, Recover) § SOC Automation e oltre
• Log e il SIEM
• Il monitoraggio
• Cyber Threat Information Sharing
• Analisi posta indesiderata
• L’importanza del SOC nelle decisioni aziendali

Modulo 5: Il controllo e la gestione di utenti e dispositivi

• Active Directory
• Sicurezza e Best Practice per l’Active Directory
• Privileged Access management (PAM)
• Indottrinamento continuo
• Accessi remoti all’infostruttura
• L’accesso in mobilità (mobile protection) e BYOD
• Il controllo dei dispositivi connessi alla rete aziendale – NAC vs 802.1X § La posta elettronica
• Privacy vs sicurezza

Modulo 6: Front – end

• HTML
• CSS
• JavaScript

Modulo 7: Security by Design

• Principi della Security by Design
• Least Privilege
• Evitare la Security by Obscurity
• Adopt Industry-Supported Standards § Fail Securely
• Secure Defaults
• Separation of Duties
• Reduce Your Attack Surface § Defense in Depth
• Reduce Complexity
• Audit Sensitive Events

Modulo 8: HTTP

• Nascita ed esigenza § L’ipertesto
• Funzionamento
• HTTP è stateless
• La request
• Risorsa
• URL
• URI, URN e URC
• Metodi HTTP
• Come specificare un header HTTP nella request
• Come leggere gli header HTTP nella request
• Header HTTP
• Il Referrer
• La Response
• Codici HTTP di risposta
• Come specificare un header HTTP per la response § HTTPS
• API REST

Modulo 9: Same Origin Policy

• Dove non interviene la SOP
• Dove interviene la SOP
• CORS: Cross Origin Resource Sharing
• Chiamate su domini di terzo livello differenti
• Finestre correlate cross origine: window.postMessage() § JSON
• Proxy Abuse
• XSHM: Cross Site History Manipulation

Modulo 10: Cookie e Cookieless

• Creazione di un cookie
• Cookie di sessione e permanenti § Tecniche Cookieless e privacy
• Sessioni stateless

Modulo 11: Session Riding: CSRF e altri

• CSRF: Cross Site Request Forgery
• Cosa può ottenere l’attaccante
• Servizi REST esposti con metodi diversi da GET o POST § Nuovi attacchi legati al CSRF: attenzione alla login
• XS-Leaks
• XSSI: Cross Site Scripting Inclusion

Modulo 12: Cross Site Scripting

• Cosa può ottenere l’attaccante § XSS Reflected
• Server side
• XSS Stored
• Differenze tra XSS Reflected e XSS Stored
• Attacchi e mitigazioni
• Utilizzo degli input dell’utente nel sorgente applicativo § Input non inseriti dall’utente ma modificabili sul client
• Sanitizzazioni più permissive
• Sanitizzazioni deboli
• Approccio architetturale al Cross Site Scripting
• Content-Security-Policy

Modulo 13: Altri Code Injection

• SQL Injection
• Prototype Pollution
• Come avviene l’attacco § HTML injection
• Base tag hijacking
• CSS Injection 7

Modulo 14: Attacchi diversi

• Clickjacking
• SRI: Subresource Integrity
• Attacco DOS con HTML
• DOS su Internet
• Robots.txt
• Cosa non fare con robots.txt § Directory Browsing
• Referral Spam

Modulo 15: Login

• Le login con username e password sono fallimentari
• Il Brute Force
• Tempo computazionale 9
• Il secondo fattore di autenticazione
• La biometria
• Phishing
• Web Authentication (FIDO 2)
• Una login più sicura

Modulo 16: Sicurezza delle API

• Importanza della Sicurezza delle API § Architetture enterprise
• OAuth 2
• JSON Web Token
• Insicurezza delle API
• Come proteggere le API di frontend § Le API di backend

Modulo 17 – Diritti e doveri lavoratori temporanei (4 ore teoria).

• Diritti e doveri dei lavoratori temporanei(secondo contenuti standard segnalati da Forma.Temp.). Dal lavoro interinale al lavoro in somministrazione : legislazione ,sistema triangolare del lavoro in somministrazione ,ammissibilità e divieti. Il CCNL per i lavoratori temporanei. Le materie di competenza e gli obblighi dell’agenzia per il lavoro e dell’impresa utilizzatrice. Il contratto commerciale tra lavoratore e agenzia di somministrazione. I diritti e doveri dei lavoratori .La bilateralità .Forma.Temp ed E.Bi.Temp.

Modulo 18 – Salute e sicurezza sui luoghi di lavoro (4 ore teoria).

– Formazione sui rischi per la sicurezza e la salute, connessi alle attività produttive in generale (Formazione Standard FT): Principi della sicurezza sul lavoro e decreto legislativo 81/2008.Concetti di rischio ;danno ;prevenzione ;protezione ;organizzazione della prevenzione aziendale; diritti; obblighi e sanzioni del datore di lavoro, RSPP , preposto , dirigente , RLS medico competente e lavoratori ; organi di vigilanza, controllo e assistenza.