Opintojakson suoritettuaan opiskelija
– Tuntee tunkeutumistestauksen prosessin pääpiirteissään
– Tietää, että tunkeutumistestaukselle on lailliset ja eettiset rajat
– Osaa kartoittaa kohdejärjestelmän haavoittuvuuksia
– Osaa hyödyntää valmiita hyökkäyksiä (exploit) ja liittää niihin hyötykuorman käyttäen kurssille valittua työkalua
– Osaa soveltaa tavallisimpia hyökkäyksiä weppisovelluksia vastaan, kun kohdeohjelmistot ovat helppoja ja haavoittuvia.
– Osaa hankkia tunkeutumistestauksessa tarvittavia ohjelmistoja
Kurssilta ei saa mukaansa ilmaista pakettia nollapäivähaavoittuvuuksia, eikä kurssi anna mitään erityisoikeuksia eikä ammattinimikkeitä.
Alkutestin suorittaminen on edellytys kurssille pääsyyn. Mikäli hakijoita on enemmän kuin kurssille mahtuu, alkutestin pisteet ratkaisevat etusijan.
Alkutestillä testataan
– Linuxin perusteiden hallinta (esim. komentokehote, demonit, tiedostojärjestelmän rakenne, ssh. Linuxin asentaminen omaan virtuaalikoneeseen. Esim. "Linux palvelimet" -kurssi.)
– Verkkojen perusteet (esim. TCP/IP pino, paketti, ARP, TCP, UDP, HTTP, ICMP, SSL/TLS, socket, IP-osoite, portti, asiakas-palvelin-arkkitehtuuri)
– Ohjelmoinnin alkeet (muuttuja, suoritusjärjestys, ehtolause, silmukka, funktio, olio)
Kurssilla työskennellään pääasiassa Linuxin komentokehotteessa.
Kurssille pääsy edellyttää myös kurssin sääntöjen hyväksymistä.
Tunkeutumistestauksessa (penetration testing) järjestelmän tietoturvaa parannetaan hyökkäämällä siihen oikeaa hyökkäystä muistuttavalla tavalla, mutta järjestelmän omistajan tilauksesta ja luvalla. Tunkeutumistestaus auttaa tunnistamaan ja priorisoimaan riskejä. Testiraportin perusteella järjestelmän turvallisuutta parannetaan korjaamalla havaitut puutteet. Tietoturvasta huolehtiminen on pakollinen osa minkä tahansa yrityksen toimintaa. Riskialttiilla aloilla standardit voivat myös velvoittaa tunkeutumistestaukseen tai haavoittuvuusskannaukseen.
Edistynyt kurssi, tähän alustavaan aikatauluun tulee muutoksia kurssin aikana.
1. Alkutesti ja osallistujien valinta. Nykytila ja lämmitelyharjoitus. Laki ja etiikka.
2. Tiedustelu.
3. Tunkeutuminen.
4. Weppi.
5. Salaus ja salasanat.
6. Asiakspään hyökkäyksiä.
7. Verkkohyökkäyksiä.
8. Arvioitava lopputehtävä.
Tuntee eettiset ja lailliset rajat tunkeutumistestaukselle. Pystyy harjoittelemaan tekniikoita häiritsemättä järjestelmien toimintaa.
Tunnistaa tavallisimpia haavoittuvuuksia. Onnistuu tunkeutumaan erittäin haavoittuviksi tehtyihin järjestelmiin tai käyttämällä valmiita työkaluja mekaanisesti. Kykenee ratkomaan yksinkertaisia sormiharjoituksia tunnilla ja läksyissä.
Pystyy tunkeutumaan haavoittuviin järjestelmiin sekä wepissä, salasanahyökkäyksillä että infrastruktuuria vastaan. Pystyy soveltamaan helppoja tunkeutumistyökaluja hieman muuttuviin tilanteisiin. Tunnistaa ja välttää aktiivisesti tunkeutumistestauksesta aiheutuvia riskejä.
Hallitsee alempien arvosanojen vaatimustason.
Pystyy tunkeutumaan haavoittuviin järjestelmiin todellista ympäristöä muistuttavassa tilanteessa. Osaa yhdistellä yksinkertaisia hyökkäyksiä tavoitteen saavuttamiseksi. Pystyy turvallisesti kokeilemaan itselleen uusia työkaluja.
Hallitsee alempien arvosanojen vaatimustason.
Kurssi on saanut huippupalautteen. Suurin osa kaikista kurssin käyneistä opiskelijoista on antanut palautteen kiitettävä 5/5. Palautekeskiarvot ovat kiitettäviä, välillä 4.7 - 5.0 / 5. Opiskelijoiden toiveet vaikuttivat ratkaisevasti kurssin perustamiseen. Viimeisimpien palautteiden perusteella on tehty tarkistuksia kurssin vaativuuteen, muutettu työkalujen valintoja sekä selkiytetty viitekehystä.
Kurssi on haastava ja edellyttää itsenäistä ongelmanratkaisua.
Palautetta, vanhoja kotitehtäviä ja linkkejä opiskelijoiden esimerkkiratkaisuihin
http://TeroKarvinen.com