IAW301 - An ninh ứng dụng web

IAW301 - An ninh ứng dụng web (Web Security) là môn 3 tín chỉ bậc cử nhân của Đại học FPT, nhận một trong ba mã tiên quyết ITE303, ITE302c hoặc IAP201. Ứng dụng web là bề mặt tấn công lớn nhất của hầu hết tổ chức, đơn giản vì nó phải mở ra Internet để phục vụ người dùng. Môn này đi qua từng lớp lỗ hổng theo cách người tấn công nhìn, rồi quay lại chỉ cách phòng từ phía người lập trình — hai góc nhìn cùng một vấn đề. Khối mở đầu dựng nền: ứng dụng web hoạt động ra sao, an ninh ứng dụng web khác an ninh mạng ở chỗ nào, và phân biệt phía máy khách với phía máy chủ — phân biệt này là gốc của rất nhiều lỗi, vì kiểm tra dữ liệu ở phía máy khách là không có giá trị bảo mật. Khối này cũng giới thiệu các công cụ dò quét và bộ phân loại lỗ hổng thông dụng của cộng đồng, cùng bài thực hành đầu tiên. Khối lộ lọt thông tin đi vào nhóm lỗ hổng dễ bị xem nhẹ nhất: thông báo lỗi chi tiết quá mức, tệp cấu hình để lộ, siêu dữ liệu còn sót — mỗi mảnh đơn lẻ trông vô hại nhưng ghép lại cho kẻ tấn công bản đồ hệ thống. Khối này phân tích cả mức tác động và kèm bài thực hành trên môi trường luyện tập chuyên dụng. Các khối sau đi tiếp qua những họ lỗ hổng còn lại theo cùng cấu trúc: nguyên lý, tác động, thực hành khai thác, rồi cách vá. Lợi ích: người học rà được một ứng dụng web và viết mã tránh được nhóm lỗi phổ biến nhất ngay từ đầu, rẻ hơn nhiều so với vá sau. Môn cũng dạy cách đọc một báo cáo quét tự động cho đúng: công cụ sinh ra rất nhiều cảnh báo, phần lớn không khai thác được trên thực tế, nên việc của người làm an ninh là xác minh và xếp ưu tiên thay vì chuyển nguyên danh sách cho đội phát triển.