Aloita täältä. Tällä kurssilla käymme läpi tärkeitä perusteita, jotka mahdollistavat syventävän oppimisen yhä monimutkaisempiin aihe-alueisiin tietoturvan parissa. Kurssi on tarkoitettu oppilaille, jotka ovat uusia tietotekniikan parissa.

Kurssin tarkoitus on käydä läpi tärkeitä tietotekniikan aihe-alueita, jotta muiden kurssien parissa olisi helpompi sisäistää uutta tietoa. Kurssin tarkoitus on tukea oppimista sekä mahdollistaa nopea siirtyminen muuhun Hakatemian tarjoamaan materiaaliin. Olemme tehneet parhaamme tiivistäessämme kurssin mielestämme kriittisimpiin osa-alueisiin, mutta suosittelemme kuitenkin etsimään lisää tietoa ja kokeilemaan uusia asioita tietotekniikan parissa. Jatkuva oppiminen on osa jokaisen harrastajan kuin myös IT-ammattilaisen elämää.

Perusteet haltuun

BurpSuite on johtava web-sovellusten tietoturvatyökalu, joka helpottaa haavoittuvuuksien tunnistamista ja hyödyntämistä web-sovelluksissa erilaisten hyökkäystyökalujen avulla.

BurpSuite - Perusteet 

Opetellaan ohjelmoinnin perusteet Pythonilla. Suunnattu täysin vasta-alkajille.

Tervetuloa Python-ohjelmointikurssille! Tämä kurssi on suunnattu kaikille, jotka haluavat oppia ohjelmoimaan Python-kielellä, mutta joilla ei ole aiempaa kokemusta ohjelmoinnista. Python on erittäin suosittu ohjelmointikieli, jota käytetään monenlaisissa sovelluksissa, kuten web-kehityksessä, tietojenkäsittelyssä, tekoälyssä ja data-analytiikassa.

Kurssin tavoitteena on antaa sinulle perustiedot Python-ohjelmoinnista ja auttaa sinua kehittämään taitojasi askel askeleelta. Käymme läpi peruskäsitteitä, kuten muuttujia, ehtolauseita ja silmukoita, sekä opit, miten voit käyttää Pythonia tiedon käsittelyyn.

Kurssi koostuu erilaisista oppimateriaaleista, kuten videoista, luetusta materiaalista ja harjoituksista, joiden avulla voit soveltaa oppimaasi käytännössä. Kurssin edetessä opit lisää monimutkaisempia ohjelmointikäsitteitä ja -tekniikoita ja saavutat vankan perustan Python-ohjelmoinnissa.

On lämpimästi suositeltavaa käydä tämä kurssi heti peruskurssin jälkeen, sillä haavoittuvuuksien ymmärtäminen on monin verroin helpompaa jos ymmärtää koodia. Sitä paitsi, koodaus on kivaa!

Oletko valmis aloittamaan matkasi Python-ohjelmoinnin maailmassa? Liity mukaan tähän jännittävään kurssiin ja aloita oppiminen jo tänään!

Python Ohjelmointi

Tämä kurssi on johdatus web-kehitykseen ja se keskittyy HTML:n, CSS:n, JavaScriptin ja taustajärjestelmien perusteisiin. Kurssin tavoitteena on antaa opiskelijoille tarvittavat taidot ja tietämys, jotta he voivat suunnitella ja kehittää ja ymmärtää yksinkertaisia web-sovelluksia.

Tämä kurssi on johdatus web-kehitykseen ja se keskittyy verkkosivustojen peruspalikoiden, eli HTML:n, CSS:n ja JavaScriptin sekä taustajärjestelmien perusteisiin. Kurssin tavoitteena on antaa sinulle tarvittavat taidot ja tietämys, jotta voit suunnitella ja kehittää yksinkertaisia full-stack web-sovelluksia, sekä ymmärtää muiden tekemiä web-sovelluksia.

Ensimmäisessä osassa opiskellaa HTML:ää joka on verkkosivustojen rakentamisessa käytetty merkintäkieli.


Toisessa osassa opiskellaan CSS:n perusteita, kuten tyylitiedoston käyttöä, sääntöjä, selektoreita ja muotoilua. Käsitellään myös CSS:n edistyneitä ominaisuuksia, kuten animaatioita ja responsiivista suunnittelua.


Kolmannessa osassa opiskellaan JavaScriptia joka on nykyisin valtavan tärkeä työkalu sekä frontend että backend -kehityksessä ja sitä kautta myös tietoturvassa ja eettisessä hakkeroinnissa.

Viimeisessä osassa opiskellaan rakentamaan taustajärjestelmiä Python Flask sovelluskehyksellä. Opit taustajärjestelmien perusteet, kuten tietokantojen käytön, autentikoinnin, istunnonhallinnan sekä pääsynhallinnan.

Voit tehdä kurssin tehtäviä omalla koneellasi jos haluat, mutta jokaisessa koodiesimerkissä on nappi jolla voit suoraan selaimessa ajaa kyseisen koodin ja nähdä miltä sivu näyttää, tai mitä skripti tulostaa. Sinun ei siis tarvitse asentaa mitään, mutta voit jos haluat.

On suositeltavaa mutta vapaaehtoista tehdä tili replit.com palvelussa, tällöin voit vain klikata "Fork" koodiesimerkeissä niin saat niistä kopion itsellesi jolla voit leikkiä

Web-kehityksen Perusteet

SQL-injektio lienee syynä valtaosaan vakavista tietomurroista, pääasiallisesti sen takia että haavoittuvuus on suuressa sovelluksessa erittäin todennäköinen jos teknologiavalinnat ovat huonot, ja seuraus on yleensä koko tietokannan vuotaminen hyökkääjälle.

SQL-Injektio

Salasanat ovat hirvittävän epäturvallisia aivan hirvittävän monesta syystä, mutta silti välttämättömiä. Vaarallinen kombinaatio!

Salasanat ovat hivittävän epäturvallisia aivan hirvittävän monesta syystä, mutta silti välttämättömiä. Vaarallinen kombinaatio!

Salasanahyökkäykset

Yksi karmivimmista paikoista johon injektiohaavoittuvuus voi osua on käyttöjärjestelmäkomennot. Seuraamus on lähes poikkeuksetta palvelimen täysi haltuunottaminen hyökkääjän toimesta. Näitä haavoittuvuuksia kuitenkin löytyy melkoisen usein kun sovellus käyttää esimerkiksi komentorivityökaluja kulissien takana.

Komentoinjektiot

Opi löytämään ja hyväksikäyttämään haavoittuvuutta joka on yksi kaikista yleisimmistä haavoittuvuuksista, helpohko löytää, ja siitä huolimatta hyvin vaarallinen. Hackerone rankkasi XSS:n #1 bug bounty -haavoittuvuudeksi 2021.

XSS (Cross-Site Scripting) haavoittuvuudet ovat sekä yleisiä että vakavia. Esimerkiksi HackerOne on listannut XSS:n ensimmäiseksi top 10 haavoittuvuudet listallaan.

Haavoittuvuuden läpikohtainen hallitseminen on siis erittäin tärkeää, olit sitten murtotestaaja, tietoturvakonsultti, kehittäjä tai bounty hunteri!

XSS (Cross-Site Scripting)

JWT-tokeneita on nykyään lähes kaikkialla mihin katsoo. Kuitenkin JWT-kirjaston valinta tai määritys menee usein pieleen, joka voi johtaa tokenien väärentämiseen, joka taas tyypillisesti johtaa sovelluksen turvallisuuden totaaliseen murtumiseen.

JWT Hyökkäykset

XML on pintapuolisesti yksinkertainen protokolla, tageja ja attribuutteja. XML:llä on kuitenkin salaisia kykyjä jotka valitettavan usein eivät ole oletusarvoisesti poistettu käytöstä XML-käsittelijöissä...

XXE (XML External Entity) Hyökkäykset

Erityisesti PHP-sovelluksia historiallisesti vaivannut haavoittuvuus jota voi edelleen tavata luonnosta, erityisesti vanhoista web-sovelluksista.

LFI / RFI

Kehitys kehittyy ja modernien sovelluskehysten ansiosta perinteisiä injektiohaavoittuvuuksia tai autentikointiongelmia näkee jatkuvasti vähemmän. Yksi asia kuitenkin on joka tuntuu pysyvän aina yhtä vaikeana toteuttaa turvallisesti, ja se on monimutkaisen sovelluksen pääsynhallinta.

Pääsynhallintahaavoittuvuudet

Injektioita on joskus yllättävissäkin paikoissa ja URL-osoitteiden rakentaminen on yleinen paikka, jossa kehittäjät unohtavat huomioida vaaran.

URL-injektio

HTML:ää rakennetaan tyypillisesti templaateilla juuri injektiohaavoittuvuuksien välttämiseksi, mutta joskus käy niin kurjasti että injektio osuukin itse templaattiin, ja tällöin seuraukset ovat vakavat.

Templaattien Injektiohaavoittuvuudet

Sarjallistaminen on äärimmäisen helppo ja kätevä tapa saada monimutkaisia tiloja tallentumaan levylle tai siirtymään verkon yli. Helppous tuo kuitenkin mukanaan varjopuolen, sarjallistetun objektin purkaminen nimittäin on rinnastettavissa pommin purkamiseen. Se on tehtävä juuri oikein tai muuten seuraukset voivat olla katastrofaaliset.

Deserialisointihyökkäykset

Selain on monipuolinen ympäristö, jossa on eri välilehdissä ja eri ikkunoissa ajossa koodia täysin eri tahoilta, ja nämä web-sovellukset pystyvät vielä kommunikoimaan keskenään. Tällaisessa ympäristössä on riskinsä!

Käydään kurssilla läpi selainpuolen hyökkäyksiä ja ennen kaikkea suojakeinoja.

Selainturvallisuus

Windows ja Active Directory hyökkäykset sekä puolustus

Windows on laajalti käytössä lukuisien yritysten ja oppilaitosten IT-ympäristössä, ja Windows-verkkoja hallitaan tyypillisesti Active Directory -toimialueen avulla.

Tällä kurssilla tutustumme Windows-käyttöjärjestelmän ja Active Directoryn turvallisuuteen sekä hyökkääjän että puolustajan näkökulmasta. Osa tehtävistä on siis hyökkäyksiä ja osa on kovennustehtäviä.

Kurssin alue (Windows, hyökkäys ja puolustus) on aika laaja. Jos sitä lähtisi opiskelemaan teoria edellä, kurssista tulisi tylsä. Jos taas teoriaa ei ole ollenkaan, ei ole hakkerointiakaan, koska sekä hyökkäys että puolustus perustuu ymmärrykseen siitä mitä tapahtuu.

Valitsimme näistä syistä kurssin toteutustavaksi skenaario-pohjaisen lähestymistavan, jossa yhdessä kurssin osiossa käsitellään aina yksi "skenaario" johon saattaa kuulua jokunen hyökkäys, jokunen työkalu ja jokunen kovennus jolla hyökkäykseltä voidaan suojautua.

Pyritään oikeasti ymmärtämään asiat

Teoria käydään läpi pieninä palasina käytännön yhteydessä, aina vasta kun se on välttämätöntä. Asiat koitetaan ymmärtää bittitasolla, jotta voidaan välttää tällaisille kursseille valitettavan tyypillistä ilmiötä jossa oppilas tietää kokeilla psexec-hyökkäystä NTLM-tiivisteen haltuun saatuaan, mutta ei lainkaan ymmärrä mitä hyökkäys tekee ja miten se toimii (spoileri: psexec perustuu Service Control Manager RPC-rajapintaan jolla käynnistetään haluttu komento Windows-palveluna kohdepalvelimella). Kurkitaan pellin alle Wiresharkilla ja esimerkiksi Metasploitin moduulien lähdekoodia kaivamalla.

Tällä tavalla laajasta ja teoriantäyteisestä aiheesta tulee toivottavasti hauska ja helposti askel askelelta lähestyttävä.

Oletko valmis murtautumaan EvilCorpin yritysverkkoon?

Kurssi ei edellytä osaamista Windows-ympäristöistä, mutta muuten perusjutut kuten Linux, tietoverkot, nmap jne. olisi hyvä olla vyön alla.Tervetuloa kurssille!

Tämä kurssi on vielä rakenteilla, skenaarioita tulee lisää.

Tämä kurssi on BETA-tilassa, kerrothan jos havaitset vinoon jääneitä bittejä.

Windows - Hyökkäys ja Puolustus

Nmap on yksi tunnetuimmista työkaluista, jolla voit suorittaa monipuolisia verkkoskannauksia. Jokaisen tietoturva-ammattilaisen olisi hyvä osata käyttää tätä työkalua.

Nmap on yksi tunnetuimmista verkkoskannaustyökaluista, jota käytetään usein tietoturva-asiantuntijoiden toimesta. Tässä kurssissa opettelemme käyttämään kyseistä työkalua sekä tutkimme tarkemmin, mitä mahdollisuuksia työkalu tarjoaa. Lisäksi tutkimme työkalun aiheuttamaa liikennettä ja analysoimme eri skannaus tapojen hyviä ja huonoja puolia. Kurssissa on hyvä olla ymmärrys verkkojen toiminnasta.

Varoitus! - Verkkoskannausten suorittaminen ilman lupaa voi aiheuttaa järjestelmien rikki menemisen tai/ja kaatumisen. Ethän edes kokeile skannata mitään osoitetta / järjestelmää ilman varmuutta siitä, että kyseinen järjestelmä on sinun omistuksessa tai että sinulla on lupa näin tehdä.

Nmap

Tällä kurssilla käymme läpi perusasioita liittyen Windows -järjestelmien hallintaan ja tietoturvan ylläpitoon.

Tutustumme Windowsin virustorjuntaan, palomuuriin ja automaattisiin päivityksiin. Opettelemme käyttämään etätyöpöytäyhteyksiä, rekisterieditoria, powershellia, server manageria ja ryhmäkäytäntöihin.

Kurssilla ei mennä erityisen syvälle Windows-toimialueisiin, niihin kohdistuviin hyökkäyksiin tai koventamiseen. Näitä edistyneempiä aiheita käsitellään kurssilla "Windows - Hyökkäys ja puolustus".

Windows tietoturvan perusteet

Tällä kurssilla käymme läpi Linux -järjestelmien hallintaan ja koventamiseen liittyviä aiheita

Tällä kurssilla käymme läpi Linux -järjestelmien hallintaan ja koventamiseen liittyviä aiheita.

Linux hallinta- ja koventaminen

Ohjelmointikielen automaattinen tyyppimuunnos voi johtaa odottamattomiin tuloksiin, joita hyökkääjä voi hyödyntää

Ohjelmointikielen automaattinen tyyppimuunnos voi johtaa odottamattomiin tuloksiin, joita hyökkääjä voi hyödyntää. Tässä kurssissa tutustumme type-juggling haavoittuvuuksiin.

Type-juggling haavoittuvuudet

PDF-tiedostogeneraattorit ovat yleisiä ja hyvästä syystä. Näistä on kuitenkin löytynyt viime vuosina löytynyt vaarallisia haavoittuvuuksia. 

Tässä kurssissa tutustumme erilaisiin PDF-tiedostogeneraattoreihin ja näissä piileviin vaarallisiin haavoittuvuuksiin, sekä kuinka näiltä voi välttyä.

PDF-export injektio

Wireshark on työkalu jota käytetään tietoliikenteen kaappaamiseen ja analysointiin. Työkalu on omiaan eri verkkoprotokollien oppimiseen ja tarvitset sitä usein myös CTF-kilpailuissa.

Wireshark on työkalu, jota käytetään tietoliikenteen kaappaamiseen ja analysointiin. Sen avulla voidaan tarkastella ja analysoida tietoliikennettä reaaliajassa tai tallennetuista PCAP-tiedostoista.

Wireshark pystyy purkamaan erilaisia verkkoprotokollia ja näyttämään yksityiskohtaisia tietoja jokaisesta verkkopaketista. Tietoturva-asiantuntijat voivat käyttää sitä havaitsemaan epäilyttävää tai haitallista verkkoliikennettä, kuten haittaohjelmien leviämistä, hyökkäyksiä tai tietojenkalastelua. Tarvitset sitä usein myös CTF-kilpailuissa.

Erityisesti Wireshark on omiaan verkkoprotokollien opetteluun. Voit vaikkapa käynnistää Wiresharkin, avata selaimen, käydä Hakatemian sivulla, ja nähdä sitten koko tapahtuman Wiresharkissa.

Tässä kurssissa opettelemme Wiresharkin perusteita, kuten liikenteen tallentamista, hakukentän käyttöä ja Wireshark -ohjelman statistiikan ymmärtämistä.

Wireshark

Tällä kurssilla käymme läpi organisaation tietoturvavalvontaan liittyviä käsitteitä.

Tällä kurssilla käymme läpi organisaation tietoturvavalvontaan liittyviä asioita.

Tietoturvavalvonnan perusteet ja käsitteet

Kryptografian historiasta nykykäyttöön, salauksen perusteet, teknologiat, sovellukset ja niiden vaikutus turvallisuuteen.

Tervetuloa Hakatemian kryptografia-kurssille!

Kurssilla käymme läpi kryptografian perusteita, tärkeimpiä salausalgoritmeja ja nykyajan käyttötarkoituksia. Kurssi on aloittelijaystävällinen ja käytännönläheinen.

Tarkoitus on että kurssin jälkeen tiedät mitä kryptografia on, mihin sitä käytetään, ja osaat valita oikeat salaustekniikat ja asetukset erilaisiin käyttötarkoituksiin.

Kryptografia

Metasploit on suosittu hyökkäyskehys, joka auttaa ammattilaisia tunnistamaan ja hyödyntämään tietoturva-aukkoja. Tässä kurssissa käydään läpi Metasploitin käyttöä ja opitaan, miten sitä voidaan käyttää hyökkäysten toteuttamiseen ja tietoturva-aukkojen löytämiseen.

Metasploit, tuo pentestaajan sveitsiläinen linkkuveitsi

Tervetuloa Metasploitin ihmeelliseen maailmaan!

Metasploit on hyökkäyskehys. Kehys on käännös englannin kielen sanasta "framework", sille ei ole oikein fiksumpaa vastinetta Suomen kielessä.

Kehys tässä yhteydessä tarkoittaa koodipohjaa. Tarkkaan ottaen se tarkoittaa läjää uudelleenkäytettävää Ruby-koodia jonka avulla on näppärä tehdä lisää Ruby-koodia joka tekee kyberjuttuja. Erityisesti kehys on suunniteltu murtotestausta (penetration testing) varten.

Sinun ei tarvitse osata koodata Rubya käyttääksesi Metasploittia. Tutustumme kurssilla myös tällaiseen kustomointiin ja omien moduulien rakentamiseen, mutta Metasploitissa on jo valmiina tuhansia tällaisia moduuleja joilla pääset hyvin alkuun. Sitä paitsi, Metasploit tukee nykyään myös Python-laajennuksia.

Moduuli on Ruby-tiedosto Metasploitin hakemistossa joka palvelee jotain tiettyä tarkoitusta.

Moduuleita on eri tyyppisiä eri tarkoituksiin. Esimerkiksi 

-moduulit (exploits -hakemistossa) ovat hyökkäyksiä jotka hyödyntävät jotain haavoittuvuutta ja tyypillisesti avaavat komentokanavan murretulle laitteelle, kuten palvelimelle.

Moduuleita ei toki käytetä suoraan tiedostoista, vaan Metasploit-kehyksen työkaluilla kuten 

Metasploitin lippulaivakomentorivityökalu on 

. Työkalulla on helppo etsiä ja käyttää Metasploitin moduuleita.

Kurssilla etenet vaihe vaiheelta ja harjoittelet erilaisia tekniikoita käyttäen Metasploittia itse Hakatemian labraympäristössä. Sen jälkeen siirryt harjoituksiin joihin et enää saa apua, sinulla on tiedossa vain kohteen IP-osoite, käytössäsi Nmap ja Metasploit, sekä tavoite murtautua palvelimelle soveltaen kurssilla oppimiasi taitoja.

Metasploitin opiskelu on paitsi hyödyllistä, myös super hauskaa. Ei kun kurssille!

Metasploit

Kurssilla syvennytään Burp Suiten jatkokehitykseen ja opitaan hyödyntämään sen lisäosarajapintaa tehokkaasti. Rakennamme useita käytännönläheisiä lisäosia ratkaisemaan yleisiä testauksessa kohdattuja ongelmia.

BurpSuite - Lisäosien rakentaminen

Tutustutaan hieman peruskurssia syvällisemmin tietoverkkoihin ja verkkoprotokolliin. Edelletys esimerkiksi Nmap- ja Wireshark -kursseilla pärjäämiseen.

Tietoverkot

Nessus on laajalti käytetty tietoturva-arviointityökalu, joka on suunniteltu tunnistamaan haavoittuvuuksia ja heikkouksia tietokonejärjestelmissä, verkoissa ja sovelluksissa.