Sviluppare applicazioni web .NET sicure

Introduzione all'application security: concetti fondamentali, la OWASP Top 10 e cosa significa "secure by default" nell'ecosistema .NET.

Secure Software Development Life Cycle (S-SDLC): integrare la sicurezza in progettazione, code review, CI/CD e testing dei progetti .NET.

Metodologie di assessment (black box vs white box): confronto tra testing esterno e revisione del codice C#/.NET a partire dai sorgenti.

Strumenti e risorse: usare Burp Suite per ispezionare il traffico ASP.NET Core, oltre ad analyzer, librerie e linee guida a supporto dello sviluppo sicuro in .NET.

Bug Bounty: come funzionano i programmi e come un'azienda può adottarli, insieme ai penetration test, per continuare a far emergere nuove vulnerabilità all'interno di un processo di sviluppo sicuro.

Principi di secure coding in .NET: default difensivi, API sicure del framework ed evitare pattern pericolosi in C#.

Information Gathering & Configuration Management: prevenire la fuga di informazioni tramite pagine di errore, stack trace verbosi e configurazioni di appsettings ed environment errate.

Injection - vulnerabilità e difesa: SQL injection e Cross-Site Scripting (XSS) in .NET, corretti con query parametrizzate, Entity Framework Core / LINQ e output encoding in Razor.

Authentication - vulnerabilità e difesa: falle di autenticazione comuni e implementazione sicura con ASP.NET Core Identity, archiviazione robusta delle password e flussi di protezione degli account.

Authorization - vulnerabilità e difesa: autorizzazione basata su ruoli, claim e policy, e prevenzione di IDOR e privilege escalation.

Prevenzione degli attacchi basati sull'Application Logic: mettere in sicurezza workflow multi-step e regole di business che gli scanner automatici non rilevano.

Cryptography - vulnerabilità e difesa: uso corretto della .NET Data Protection API per token e cookie, algoritmi moderni e gestione sicura di chiavi e segreti con Secret Manager e Azure Key Vault.

REST API Security: proteggere endpoint, token e autorizzazione delle Web API ASP.NET Core per l'accesso client e service-to-service.

Data Validation - vulnerabilità e difesa: model binding e validazione, protezione da over-posting / mass assignment e sanitizzazione dell'input.

Session Management - vulnerabilità e difesa: CSRF e session fixation, mitigati con l'Antiforgery di ASP.NET Core e una configurazione sicura dei cookie.

Logging e monitoraggio: registrare gli eventi rilevanti per la sicurezza a fini di detection e incident response senza esporre dati sensibili.

Client-side - vulnerabilità e difesa: misconfigurazioni CORS, Clickjacking e hardening tramite security header configurati esplicitamente, inclusa una Content Security Policy.

Denial of Service - vulnerabilità e difesa: condizioni di DoS a livello applicativo e mitigazione, incluse rate limiting e limiti sulle richieste.

IIS Hardening & .NET runtime security: mettere in sicurezza l'hosting Kestrel/IIS e l'igiene delle dipendenze e della supply chain NuGet.