Bezpečnost webových aplikací v praxi – OWASP Top 10 a API (HCK4)

Bezpečnost, Kyberbezpečnost

Kurz vás provede nejčastějšími bezpečnostními chybami v moderních aplikacích podle aktuálního žebříčku OWASP Top 10. Zaměříme se nejen na technické zranitelnosti, ale i na návrhové chyby a procesní slabiny, které vedou k ohrožení aplikací v reálném provozu. Významnou součástí kurzu je téma Secure Design, tedy jak navrhovat bezpečné systémy už od prvních fází vývoje.

Kurz je postaven velmi prakticky – každé téma doprovázejí reálné ukázky útoků, rozbory kódu i praktická hands-on cvičení, která účastníci samostatně řeší. Samostatný blok je věnován bezpečnosti REST a SOAP API, které dnes tvoří komunikační základ většiny webových i mobilních aplikací.

TOTO ŠKOLENÍ VÁM POMŮŽE:

  • Seznámit se s aktuálním žebříčkem OWASP Top 10 a jeho praktickými dopady
  • Pochopit příčiny běžných zranitelností v kódu, konfiguraci i návrhu
  • Naučit se techniky prevence a detekce útoků v reálných scénářích
  • Zvládnout zabezpečení REST a SOAP API včetně správy tokenů a autorizace
  • Aplikovat principy Secure Design a provádět threat modeling v rané fázi vývoje
  • Zavést postupy pro správu závislostí, aktualizací a integrity softwaru
  • Implementovat efektivní logging, monitoring a reakci na bezpečnostní incidenty

KDO BY SE MĚL KURZU ZÚČASTNIT?

  • Vývojáři backendu a fullstacku
  • QA a bezpečnostní testeři aplikací
  • DevOps / SRE odpovědní za nasazení a konfigurace
  • Architekti softwaru a návrháři řešení
  • Bezpečnostní analytici a incident response týmy

KDE A KDY KURZ PROBÍHÁ?



S námi máte na výběr: Přijďte na kurz osobně do naší učebny, nebo se ke kurzu připojte online. Vámi preferovanou formu můžete zvolit v průběhu objednávky. Více informací k hybridní formě školení naleznete zde.
Praha + online (volitelně)
23.11. - 24.11.2026
14 900 Kč
Privátní školení

Odemkněte potenciál svých zaměstnanců. Každé školení z naší nabídky přizpůsobíme konkrétním cílům i lidem.
Potřebujete školení přímo u vás ve firmě, nebo upravit obsah a délku na míru? ICT Pro je ideální řešení. Školit můžeme také v angličtině.

Poptat kurz na míru

Náplň kurzu:

Skrýt detaily
  • Úvod do aplikační bezpečnosti
    1. Mentalita útočníka a principy secure mindsetu
    2. Shrnutí známých reálných incidentů a dopadů
    3. Seznámení s projektem OWASP a významem Top 10
    4. Vztah k DevSecOps a bezpečnostní kultuře ve firmě
  • A01: Broken Access Control
    1. Proč vznikají chyby v řízení přístupu
    2. Nejčastější typy chyb: IDOR, chybějící kontroly na úrovni serveru
    3. Příklady reálných incidentů a nesprávných implementací
    4. Prevence a detekce nedostatečné kontroly přístupů
  • A02: Cryptographic Failures
    1. Selhání v šifrování přenosu a ukládání dat
    2. Chyby v používání algoritmů, nesprávná implementace TLS
    3. Špatné ukládání hesel a hashovacích funkcí
    4. Doporučení pro ukládání, transport a správu citlivých dat
  • A03: Injection
    1. Typy injekčních útoků: SQL, OS, LDAP, NoSQL
    2. Vstupy bez validace a jejich průnik do interpretrů
    3. Vliv frameworků na vkládání hodnot do dotazů nebo příkazů
    4. Techniky prevence a bezpečného zpracování vstupů
  • A04: Insecure Design / SSDLC
    1. Rozdíl mezi chybou návrhu a implementace
    2. Principy bezpečného návrhu (secure-by-design)
    3. Threat modeling a identifikace rizik v rané fázi vývoje
    4. Vzory bezpečných návrhů a příklady jejich použití
    5. Zpětná kontrola návrhu vs. dodatečná oprava zranitelnosti
  • A05: Security Misconfiguration
    1. Nejčastější slabiny v konfiguračních souborech a nástrojích
    2. Defaultní účty, otevřené porty, chybějící hlavičky, špatné CORS
    3. Význam bezpečných výchozích hodnot
    4. Automatizované skenování a kontrola konfigurace
  • A06: Vulnerable and Outdated Components
    1. Rizika závislosti na starších verzích knihoven a modulů
    2. Identifikace zranitelností pomocí CVE, SBOM
    3. Proces aktualizací a řízení závislostí
    4. Důležitost testování po aktualizaci
  • A07: Identification and Authentication Failures
    1. Prolomení hesel, session hijacking, slabá autentizace
    2. Špatně nastavené cookies, neobnovované tokeny
    3. Význam vícefaktorové autentizace (MFA)
    4. Odlišnosti v autentizaci u klasických aplikací a API
  • A08: Software and Data Integrity Failures
    1. Neověřené moduly, aktualizace a dodavatelské řetězce
    2. Integrita build procesů (CI/CD)
    3. Signování kódu a aktualizací
    4. Důvěra v externí repozitáře a knihovny
  • A09: Security Logging and Monitoring Failures
    1. Co a kdy logovat z pohledu bezpečnosti
    2. Vztah k forenzní analýze a detekci incidentů
    3. Nejčastější chyby: absence logů, nechráněné logy
    4. Základy integrace do SIEM a alertingu
  • A10: Server-Side Request Forgery (SSRF)
    1. Princip SSRF a proč je stále častější
    2. Příklady chyb při zpracování uživatelských URL nebo webhooků
    3. Možnosti zneužití v cloudu nebo interních sítích
    4. Ochranné mechanismy (allowlist, metadata blocking)
  • Bezpečnost REST a SOAP API
    1. Rozdíly mezi klasickou aplikací a REST/SOAP rozhraním
    2. Vstupy, autentizace a autorizace na úrovni API
    3. Problémy s rate limitingem, pagination, IDOR, HPP
    4. Management tokenů a datová izolace mezi tenanty
    5. Propojení s OWASP API Top 10 a dopady do návrhu
Předpokládané znalosti:
Základní znalost vývoje nebo testování webových aplikací. Orientace v HTTP, webových technologiích, případně shellu.
Časový rozvrh:
2 dny (9:00-17:00)
Cena za osobu:
14 900,00 Kč (18 029,00 Kč včetně 21% DPH)

Ukázka prostředí a výuky

IT učebna se stoly, počítači s monitory a projekčním plátnem v přední části místnosti.
Jak vypadá prostředí pro prezenční IT kurzy?Školení pořádáme ve vlastních učebnách vybavených moderní výpočetní technikou pro každého účastníka a velkoplošnou projekcí. Každá stanice disponuje výkonným počítačem pro bezproblémové praktické procvičování a prostředí podporuje klid a pohodovou atmosféru během školení.
IT učebna se stoly, počítači s monitory a projekčním plátnem v přední části místnosti.
Potřebuji si na prezenční kurz IT přinést vlastní počítač?Naše učebny jsou kompletně vybavené, takže vlastní notebook nepotřebujete. Na místě na Vás čeká připravený moderní počítač se vším potřebným hardwarem a softwarem pro dané školení.
Vzor certifikátu ICT Pro o úspěšném absolvování IT školení se jménem a podpisem.
Obdržíte po absolvování IT kurzu oficiální osvědčení?Ano, po úspěšném dokončení školení získáte oficiální certifikát ICT Pro potvrzující vaše absolvování a získané technické znalosti. Můžete jej využít pro doložení kvalifikace nebo přiložit ke svému profesnímu profilu.
Pohled na moderní administrativní budovu COMGUARD v Brně na Sochorově ulici.
Kde najdete naše školicí centrum v Brně?Prostory školicího centra ICT Pro s.r.o. se nachází v 1. patře budovy COMGUARD na adrese Sochorova 38 v Brně. Místo na rozhraní Žabovřesk a Komína je snadno dostupné autem i městskou hromadnou dopravou.
Pohled na moderní budovu Opatov Park v Praze na Chodově.
Kde najdete naše školicí centrum v Praze?Prostory školicího centra ICT Pro s.r.o. se nachází v 1. poschodí budovy Opatov Park na adrese Líbalova 1, Praha 11 – Chodov. Místo nabízí pohodlné zázemí pro vaše vzdělávání s výbornou dostupností.
Vybavená kuchyňka s kávovarem, mikrovlnnou troubou, dřezem a poličkami plnými hrnků a sklenic.
Jaké zázemí a občerstvení je pro vás připraveno během přestávek?V našich školicích centrech máte k dispozici plně vybavenou kuchyňku pro pohodlný odpočinek během přestávek. Součástí zázemí je kávovar, mikrovlnná trouba, varná konvice i široký výběr nápojů a občerstvení.
Kávový koutek s automatickým kávovarem, žlutými a bílými hrnky, sklenicemi a sirupy.
Jaké nápojové osvěžení je pro vás připraveno na kurzu?Během celého školení je vám k dispozici nápojový koutek s kávovarem, čaji, sirupy a vodou. Můžete si tak kdykoliv během přestávky dopřát kávu nebo jiný nápoj podle chuti.
Stůl s přichystaným sladkým pečivem, sirupy, dávkovačem vody a sklenicemi pro účastníky školení.
Jaké drobné občerstvení je pro vás v rámci kurzů připraveno?Během přestávek na kurzech je účastníkům k dispozici drobné sladké občerstvení, pečivo a sirupy pro namíchání vlastní limetkové či ovocné limonády. Nechybí ani čerstvá voda a talířky pro pohodlné servírování.
Proutěné košíky naplněné balenými slanými snacky, sladkými sušenkami a tyčinkami.
Mám si na školení ICT Pro brát svačinu?Nemusíte. Během přestávek je pro vás připraven bohatý výběr slaných pochutin i sladkých sušenek a tyčinek. Energie na celodenní soustředění je tak vždy po ruce přímo v prostorách školicího centra.
Venkovní dřevěná terasa s výhledem do zeleně u prosklené budovy školicího centra.
Můžete trávit přestávky během školení na čerstvém vzduchu?Ano, v našem školicím centru je vám k dispozici venkovní terasa. Během přestávek mezi bloky výuky si tak můžete odpočinout na čerstvém vzduchu v příjemném prostředí obklopeném zelení.
Prostorná venkovní dřevěná terasa s posezením a výhledem do okolí u budovy.
Kde si můžete odpočinout během přestávek na školení?V našem školicím centru máte k dispozici prostornou venkovní terasu s posezením. Během přestávek mezi bloky výuky si tak můžete odpočinout a načerpat energii na čerstvém vzduchu.