香港現場Application Security培訓

這門面向中級到高級開發人員的由講師主導的現場培訓課程（在線或現場）旨在幫助他們了解和應用安全編碼實踐，識別軟件中的安全風險，並實施防禦措施以抵禦網絡威脅。

在本次培訓結束時，參與者將能夠：

• 了解Web和軟件應用程序中的常見安全漏洞。
• 分析攻擊者使用的安全威脅和利用技術。
• 實施安全編碼實踐以減輕安全風險。
• 使用安全測試工具來識別和修復漏洞。

EC-Council Certified DevSecOps Engineer (ECDE) 是一門實作課程，旨在讓專業人員掌握在 DevOps 生命週期中嵌入安全性的技能，從而實現從規劃到部署的安全軟件開發。

這門由講師主導的培訓（線上或線下）針對中級軟件和 DevOps 專業人員，他們希望將安全實踐整合到 CI/CD 管道中，確保代碼的安全合規交付。

在培訓結束時，參與者將能夠：

• 理解 DevSecOps 的原則與實踐。
• 使用自動化工具保護 CI/CD 管道的每個階段。
• 實施安全編碼實踐與漏洞掃描。
• 通過實作實驗室與複習，為 ECDE 認證做好準備。

課程形式

• 互動式講座與討論。
• 在模擬管道中實作使用 DevSecOps 工具。
• 專注於安全開發與部署的指導練習。

課程定制選項

• 如需根據您團隊的工作流程或工具鏈定制此課程的培訓，請聯繫我們安排。

Android 是一个面向手机和平板电脑等移动设备的开放平台。它具有多种安全功能，使开发安全软件更加容易，但也缺少其他手持平台中存在的某些安全方面。本课程全面概述了这些功能，并指出了与底层Linux、文件系统及整体环境相关的最关键缺陷，以及在使用权限和其他Android软件开发组件时需要注意的问题。

课程详细描述了本地代码和Java应用程序中典型的安全陷阱和漏洞，同时提供了避免和缓解这些问题的建议和最佳实践。在许多情况下，讨论的问题通过实际案例和案例研究加以支持。最后，我们简要介绍了如何使用安全测试工具来揭示与安全相关的编程错误。

参与者参加本课程后将能够：

• 理解安全、IT安全和安全编码的基本概念
• 学习Android上的安全解决方案
• 学习使用Android平台的各种安全功能
• 获取关于Android上Java最近漏洞的信息
• 了解典型的编码错误及其避免方法
• 理解Android上本地代码的漏洞
• 认识到本地代码中不安全缓冲区处理的严重后果
• 理解架构保护技术及其弱点
• 获取安全编码实践的来源和进一步阅读材料

受众

专业人士

目前有許多程式設計語言可用於將代碼編譯為 .NET 和 ASP.NET 框架。該環境為安全開發提供了強大的手段，但開發人員應該知道如何應用體系結構和編碼級別的程式設計技術，以實現所需的安全功能並避免漏洞或限制其利用。

本課程旨在通過大量動手練習向開發人員傳授如何防止不受信任的代碼執行特權操作、通過強身份驗證和授權保護資源、提供遠端過程調用、處理會話、為某些功能介紹不同的實現等等。一個特殊部分專門用於配置和強化 .NET 和 ASP.NET 環境以確保安全性。

對密碼學基礎知識的簡要介紹為理解各種演算法的用途和操作提供了一個通用的實踐基線，在此基礎上，本課程介紹了可在 .NET 中使用的加密功能。隨後引入了一些最新的加密漏洞，這些漏洞都與某些加密演算法和加密協定以及側通道攻擊有關。

引入不同的漏洞首先會出現使用 .NET 時提交的一些典型程式設計問題，包括輸入驗證、錯誤處理或爭用條件的錯誤類別。特別關注 XML 安全性，而 ASP.特定於 NET 的漏洞解決了一些特殊問題和攻擊方法： 例如攻擊 ViewState 或字串終止攻擊。

參加本課程的學員將

• 瞭解安全、IT 安全和安全編碼的基本概念
• 瞭解如何使用 .NET 開發環境的各種安全功能
• 對密碼學有實際的瞭解
• 瞭解最近針對加密系統的一些攻擊
• 獲取有關 .NET 和 ASP.NET 中一些最新漏洞的資訊
• 瞭解典型的編碼錯誤以及如何避免這些錯誤
• 獲取有關使用安全測試工具的實用知識
• 獲取有關安全編碼實踐的原始程式碼和進一步閱讀材料

觀眾

開發人員

實現安全的網路應用程式可能很困難，即使對於可能事先使用過各種加密構建塊（例如加密和數位簽名）的開發人員也是如此。為了讓參與者了解這些加密原語的作用和用法，首先給出了安全通信的主要要求（安全確認、完整性、機密性、遠端識別和匿名）的堅實基礎，同時還介紹了可能破壞這些要求的典型問題以及實際解決方案。

由於網路安全的一個關鍵方面是密碼學，因此還討論了對稱密碼學、哈希、非對稱密碼學和密鑰協定中最重要的加密演算法。這些元素不是提供深入的數學背景，而是從開發人員的角度進行討論，展示了與加密使用相關的典型用例示例和實際考慮，例如公鑰基礎設施。介紹了安全通信的許多領域的安全協定，並深入討論了最廣泛使用的協定系列，例如 IPSEC 和 SSL/TLS。

討論了與某些加密演算法和加密協定相關的典型加密漏洞，例如 BEAST、CRIME、TIME、BREACH、FREAK、Logjam、Padding oracle、Lucky Thirteen、POODLE 等，以及 RSA 計時攻擊。在每種情況下，都會針對每個問題描述實際考慮和潛在後果，同樣，無需深入數學細節。

最後，由於 XML 技術是網路應用程式數據交換的核心，因此描述了 XML 的安全方面。這包括在 Web 服務和 SOAP 消息中使用 XML 以及 XML 簽名和 XML 加密等保護措施，以及這些保護措施中的弱點和 XML 特定的安全問題，例如 XML 注入、XML 外部實體 （XXE） 攻擊、XML 炸彈和 XPath 注入。

參加本課程的學員將

• 瞭解安全、IT 安全和安全編碼的基本概念
• 瞭解安全通信的要求
• 瞭解不同 OSI 層的網路攻擊和防禦
• 對密碼學有實際的瞭解
• 瞭解基本安全協定
• 瞭解最近針對加密系統的一些攻擊
• 獲取有關一些最近的相關漏洞的資訊
• 瞭解 Web 服務的安全概念
• 獲取有關安全編碼實踐的原始程式碼和進一步閱讀材料

觀眾

開發人員、專業人士

本課程通過將C/C++、Java和Web應用程序安全結合到一個綜合培訓中，提供跨平臺的安全編碼專業知識。參與者將學習現代漏洞、攻擊方法以及跨異構環境的安全開發實踐。

本課程爲講師指導的線下或遠程培訓，面向希望加強企業級和Web應用程序安全編碼實踐的中級到高級開發人員。

在本培訓結束時，參與者將能夠：

• 在C/C++和Java開發環境中應用安全編碼原則。
• 識別並緩解常見漏洞，如緩衝區溢出、SQL注入和XSS。
• 有效實現和配置Java安全服務和API。
• 理解OWASP Top Ten及更多內容，包括客戶端安全風險。
• 安全使用密碼學進行數據保護和通信。
• 分析代碼中的架構弱點，並應用防禦性編碼策略。
• 瞭解平臺、框架和庫中的最新漏洞。

課程形式

• 互動式講座和討論。
• 動手實踐的安全編碼實驗和漏洞演示。
• 案例研究和真實漏洞分析。

課程定製選項

• 如需定製本課程，請聯繫我們進行安排。

雲計算的採用改變了應用程序的構建、部署和運營方式，將責任在供應商和客戶之間重新分配，同時引入了雲原生平臺（如容器、無服務器、託管服務），這些平臺需要適配的安全控制措施。因此，安全必須涵蓋基礎設施加固、身份和訪問管理、數據保護、安全開發實踐以及雲特定的威脅向量。

本課程由講師主導，提供線上或線下培訓，面向中級開發者、安全工程師和IT經理，旨在幫助他們掌握保護雲應用程序及其支持基礎設施的實用技能，同時學習可重複的控制和評估技術，這些技術與當前行業框架和雲提供商的指導相符。

培訓結束後，學員將能夠：

• 解釋雲計算的共享責任模型，並將其應用於應用安全決策。
• 加固雲基礎設施（IaaS），保護平臺服務（PaaS），並評估SaaS配置。
• 將安全編碼和基於OWASP的緩解模式應用於託管在雲上的應用程序。
• 將安全工具集成到CI/CD管道中（SAST/DAST/IAST/RASP），並採用“左移”實踐。

課程形式

• 互動講座和討論，結合現場演示。
• 使用雲控制檯、容器、無服務器函數和CI/CD管道的動手實驗。
• 實踐練習：安全配置、漏洞掃描、攻擊模擬和修復規劃。

課程定製選項

• 如需定製本課程，請聯繫我們進行安排。

本課程爲期三天，涵蓋C/C++代碼安全的基礎知識，旨在防止惡意用戶利用代碼中的內存管理和輸入處理漏洞。課程將介紹編寫安全代碼的基本原則。

即使是有經驗的 Java 程式師也無法完全掌握 Java 提供的各種安全服務，同樣也不知道與用 Java 編寫的 Web 應用程式相關的不同漏洞。

該課程 - 除了介紹標準 Java 版的安全元件外 - 涉及 Java 企業版 （JEE） 和 Web 服務的安全問題。在討論特定服務之前，先介紹加密和安全通信的基礎。各種練習涉及 JEE 中的聲明式和編程式安全技術，同時討論了 Web 服務的傳輸層和端到端安全性。通過幾個實踐練習來介紹所有元件的使用，參與者可以親自嘗試所討論的 API 和工具。

本課程還介紹並解釋了 Java 語言和平臺最常見和最嚴重的程式設計缺陷以及與Web相關的漏洞。除了 Java 程式師犯下的典型錯誤外，引入的安全漏洞還涵蓋了特定於語言的問題和來自運行時環境的問題。所有漏洞和相關攻擊都通過易於理解的練習進行演示，然後是推薦的編碼指南和可能的緩解技術。

參加本課程的學員將

• 瞭解安全、IT 安全和安全編碼的基本概念
• 瞭解 OWASP Top 10 之後的 Web 漏洞，並知道如何避免它們
• 瞭解 Web 服務的安全概念
• 學習使用 Java 開發環境的各種安全功能
• 對密碼學有實際的瞭解
• 瞭解安全解決方案 Java EE
• 瞭解典型的編碼錯誤以及如何避免這些錯誤
• 獲取有關 Java 框架中一些最新漏洞的資訊
• 獲取有關使用安全測試工具的實用知識
• 獲取有關安全編碼實踐的原始程式碼和進一步閱讀材料

觀眾

開發人員

即使是經驗豐富的程式師也無法完全掌握其開發平臺提供的各種安全服務，同樣也不知道與他們開發相關的不同漏洞。本課程面向同時使用 Java 和 PHP 的開發人員，為他們提供必要的基本技能，使他們的應用程式能夠抵禦通過 Internet 的現代攻擊。

通過處理訪問控制、身份驗證和授權、安全通信和各種加密功能，逐步完成 Java 安全架構的級別。還介紹了各種可用於保護 PHP 中代碼的 API，例如用於加密的 OpenSSL 或用於輸入驗證的 HTML Purifier。在伺服器端，給出了強化和配置操作系統、Web 容器、文件系統、SQL 伺服器和 PHP 本身的最佳實踐，同時通過 JavaScript、Ajax 和 HTML5 的安全問題特別關注用戶端安全性。

一般的 Web 漏洞通過與 OWASP Top 10 相關的示例進行討論，展示了各種注入攻擊、腳本注入、針對會話處理的攻擊、不安全的直接物件引用、檔上傳問題等等。介紹了各種特定於 Java 和 PHP 的語言問題以及由運行時環境引起的問題，這些漏洞被歸類為標準漏洞類型，包括缺少或不正確的輸入驗證、不正確的安全功能使用、不正確的錯誤和異常處理、與時間和狀態相關的問題、代碼質量問題和與移動代碼相關的漏洞。

參與者可以親自嘗試所討論的 API、工具和配置效果，而漏洞的引入都由許多動手練習提供支援，這些練習演示了成功攻擊的後果，展示了如何糾正錯誤和應用緩解技術，並介紹了各種擴展和工具的使用。

參加本課程的學員將

• 瞭解安全、IT 安全和安全編碼的基本概念
• 瞭解 OWASP Top 10 之後的 Web 漏洞，並知道如何避免它們
• 瞭解用戶端漏洞和安全編碼實踐
• 學習使用 Java 開發環境的各種安全功能
• 對密碼學有實際的瞭解
• 學習使用 PHP 的各種安全功能
• 瞭解 Web 服務的安全概念
• 獲取有關使用安全測試工具的實用知識
• 瞭解典型的編碼錯誤以及如何避免這些錯誤
• 瞭解 Java 和 PHP 框架和庫中的最新漏洞
• 獲取有關安全編碼實踐的原始程式碼和進一步閱讀材料

觀眾

開發人員

描述

Java語言和運行時環境（JRE）的設計旨在避免其他語言（如C/C++）中最常見的安全漏洞。然而，軟件開發人員和架構師不僅需要了解如何使用Java環境的各種安全功能（正向安全），還應意識到Java開發中仍然存在的衆多漏洞（負向安全）。

在介紹安全服務之前，課程簡要概述了密碼學的基礎知識，爲理解相關組件的用途和操作提供了共同的基礎。通過多個實踐練習，參與者可以親自嘗試討論的API。

課程還詳細講解並解釋了Java語言和平臺中最常見和最嚴重的編程缺陷，涵蓋了Java程序員常犯的典型錯誤以及語言和環境特定的問題。所有漏洞和相關攻擊都通過易於理解的練習進行演示，隨後提供推薦的編碼指南和可能的緩解技術。

參加本課程的學員將

• 瞭解安全、IT安全和安全編碼的基本概念
• 學習超越OWASP十大漏洞的Web漏洞，並瞭解如何避免它們
• 學習使用Java開發環境的各種安全功能
• 獲得密碼學的實踐經驗
• 瞭解典型的編碼錯誤及其避免方法
• 獲取有關Java框架中一些最新漏洞的信息
• 獲得有關安全編碼實踐的參考資料和進一步閱讀材料

受衆

開發人員

描述

除了使用 Java 元件的紮實知識外，即使對於經驗豐富的 Java 程式員來說，也必須對伺服器端和用戶端的Web相關漏洞、與用 Java 編寫的Web應用程式相關的不同漏洞以及各種風險的後果有深入的瞭解。

通過介紹相關攻擊來演示基於 Web 的一般漏洞，而推薦的編碼技術和緩解方法在 Java 的上下文中解釋，其最重要的目的是避免相關問題。此外，還特別關注用戶端安全性，以解決 JavaScript、Ajax 和 HTML5 的安全問題。

本課程介紹了 Standard Java Edition 的安全元件，之前是密碼學的基礎知識，為理解適用元件的用途和操作提供了一個通用的基線。所有元件的使用都通過實踐練習進行介紹，參與者可以親自嘗試所討論的 API 和工具。

最後，本課程解釋了 Java 語言和平臺最常見和最嚴重的程式設計缺陷。除了 Java 程式師犯下的典型錯誤外，引入的安全漏洞還涵蓋了特定於語言的問題和運行時環境引起的問題。所有漏洞和相關攻擊都通過易於理解的練習進行演示，然後是推薦的編碼指南和可能的緩解技術。

參加本課程的學員將

• 瞭解安全、IT 安全和安全編碼的基本概念
• 瞭解 OWASP Top 10 之後的 Web 漏洞，並知道如何避免它們
• 瞭解用戶端漏洞和安全編碼實踐
• 學習使用 Java 開發環境的各種安全功能
• 對密碼學有實際的瞭解
• 瞭解典型的編碼錯誤以及如何避免這些錯誤
• 獲取有關 Java 框架中一些最新漏洞的資訊
• 獲取有關使用安全測試工具的實用知識
• 獲取有關安全編碼實踐的原始程式碼和進一步閱讀材料

觀眾

開發人員

參加本課程的香港學員將

• 了解安全、IT安全和安全編碼的基本概念
• 學習OWASP十大漏洞之外的Web漏洞，並了解如何避免它們
• 學習客戶端漏洞和安全編碼實踐
• 學習使用Java開發環境的各種安全功能
• 對加密學有實際理解
• 了解Web服務的安全概念
• 了解Java EE的安全解決方案
• 學習典型的編碼錯誤及如何避免它們
• 獲取有關Java框架中一些近期漏洞的信息
• 獲得使用安全測試工具的實際知識
• 獲取有關安全編碼實踐的資源和進一步閱讀材料

作為開發人員，您的職責是編寫無懈可擊的代碼。

如果我們告訴你，儘管你付出了所有的努力，但你在整個職業生涯中編寫的代碼充滿了你從未知道存在的弱點，你會怎麼做？如果在您閱讀本文時，駭客試圖侵入您的代碼，該怎麼辦？他們成功的可能性有多大？如果他們可以竊取您的資料庫並在黑市上出售怎麼辦？

此 Web 應用程式安全課程將改變您看待代碼的方式。在實踐培訓中，我們將教您所有攻擊者的技巧以及如何減輕它們，讓您除了渴望瞭解更多之外沒有其他感覺。

您可以選擇走在前面，並被視為打擊網路犯罪的遊戲規則改變者。

出席會議的代表將：

• 瞭解安全、IT 安全和安全編碼的基本概念
• 瞭解 OWASP Top 10 之後的 Web 漏洞，並知道如何避免它們
• 瞭解用戶端漏洞和安全編碼實踐
• 瞭解 Node.js 安全性
• 瞭解 MongoDB 安全性
• 對密碼學有實際的瞭解
• 瞭解基本安全協定
• 瞭解 Web 服務的安全概念
• 瞭解 JSON 安全性
• 獲取有關使用安全測試技術和工具的實用知識
• 瞭解如何處理所用平臺、框架和庫中的漏洞
• 獲取有關安全編碼實踐的原始程式碼和進一步閱讀材料

目前有多種編程語言可用於將代碼編譯到 .NET 和 ASP.NET 框架中。該環境爲安全開發提供了強大的工具，但開發人員需要了解如何應用架構和編碼級別的編程技術，以實現所需的安全功能，並避免漏洞或限制其被利用。

本課程旨在通過大量實踐練習，教導開發人員如何防止不受信任的代碼執行特權操作，通過強身份驗證和授權保護資源，提供遠程過程調用，處理會話，引入某些功能的不同實現，以及更多內容。

在介紹不同的漏洞時，首先會展示一些在使用 .NET 時常見的編程問題，而討論 ASP.NET 的漏洞時，還會涉及各種環境設置及其影響。最後，關於 ASP.NET 特有的漏洞，不僅涉及一些常見的 Web 應用安全挑戰，還包括特殊問題和攻擊方法，如攻擊 ViewState 或字符串終止攻擊。

參加本課程的學員將

• 理解安全、IT 安全和安全編碼的基本概念
• 學習超越 OWASP Top Ten 的 Web 漏洞，並瞭解如何避免它們
• 學習使用 .NET 開發環境的各種安全功能
• 獲得使用安全測試工具的實踐經驗
• 瞭解典型的編碼錯誤及其避免方法
• 獲取有關 .NET 和 ASP.NET 中一些最新漏洞的信息
• 獲取有關安全編碼實踐的參考資料和進一步閱讀

目標受衆

開發人員

除了紮實掌握.NET和ASP.NET的各種安全功能，即使對於有經驗的程序員來說，深入瞭解服務器端和客戶端與Web相關的漏洞及其風險後果也是至關重要的。

本課程通過展示相關攻擊來演示常見的Web漏洞，同時在ASP.NET的上下文中解釋推薦的編碼技巧和緩解方法。特別關注客戶端安全，解決JavaScript、Ajax和HTML5的安全問題。

課程還涉及.NET框架的安全架構和組件，包括基於代碼和角色的訪問控制、權限聲明和檢查機制以及透明度模型。密碼學基礎的簡要介紹爲理解各種算法的目的和操作提供了共同的實踐基礎，在此基礎上，課程展示了可以在.NET中使用的加密功能。

不同安全漏洞的介紹遵循已建立的漏洞分類，涵蓋輸入驗證、安全功能、錯誤處理、時間和狀態相關問題、一般代碼質量問題，以及專門針對ASP.NET的漏洞部分。這些主題以測試工具的概述作爲結尾，這些工具可以自動揭示一些已學習的漏洞。

主題通過實踐練習展示，參與者可以親身體驗某些漏洞的後果、緩解措施以及討論的API和工具。

參與者將學到

• 理解安全、IT安全和安全編碼的基本概念
• 瞭解OWASP十大漏洞之外的Web漏洞，並學會如何避免它們
• 學習客戶端漏洞和安全編碼實踐
• 學會使用.NET開發環境的各種安全功能
• 獲得密碼學的實踐理解
• 獲取有關.NET和ASP.NET中最新漏洞的信息
• 獲得使用安全測試工具的實踐知識
• 瞭解典型的編碼錯誤及其避免方法
• 獲取有關安全編碼實踐的資料和進一步閱讀

目標受衆

開發者

本课程介绍了一些常见的安全概念，概述了无论使用何种编程语言和平台，漏洞的本质，并解释了在软件开发生命周期的各个阶段如何处理与软件安全相关的风险。在不深入技术细节的情况下，课程重点介绍了各种软件开发技术中最有趣和最令人头痛的漏洞，并展示了安全测试的挑战，以及一些可以应用于发现代码中现有问题的技术和工具。

参加本课程的学员将：

• 理解安全、IT安全和安全编码的基本概念
• 理解Web服务器端和客户端的漏洞
• 认识到不安全的缓冲区处理的严重后果
• 了解开发环境和框架中的一些最新漏洞
• 学习典型的编码错误及如何避免它们
• 理解安全测试的方法和方法论

受众

管理人员

該課程為 PHP 開發人員提供了必要的基本技能，以使其應用程式能夠抵禦通過 Internet 的現代攻擊。通過基於 PHP 的示例討論了 Web 漏洞，這些示例超出了 OWASP 前十名，解決了各種注入攻擊、腳本注入、針對 PHP 會話處理的攻擊、不安全的直接物件引用、檔上傳問題等等。PHP 相關的漏洞被歸類為標準漏洞類型，包括缺失或不正確的輸入驗證、不正確的錯誤和異常處理、安全功能的不當使用以及與時間和狀態相關的問題。對於後者，我們討論了諸如 open_basedir 規避、通過magic float拒絕服務或哈希表碰撞攻擊等攻擊。在所有情況下，參與者都將熟悉用於減輕入伍風險的最重要技術和功能。

特別關注用戶端安全性，解決 JavaScript、Ajax 和 HTML5 的安全問題。引入了許多與 PHP 相關的擴展，例如用於加密的 hash、mcrypt 和 OpenSSL，或用於輸入驗證的 Ctype、ext/filter 和 HTML Purifier。最好的強化實踐是與 PHP 配置（設置 php.ini）、Apache 和一般伺服器相關的。最後，概述了開發人員和測試人員可以使用的各種安全測試工具和技術，包括安全掃描器、滲透測試和漏洞利用包、嗅探器、代理伺服器、模糊工具和靜態原始碼分析器。

漏洞的引入和配置實踐都得到了許多動手練習的支持，這些練習演示了成功攻擊的後果，展示了如何應用緩解技術，並介紹了各種擴展和工具的使用。

參加本課程的學員將

• 瞭解安全、IT 安全和安全編碼的基本概念
• 瞭解 OWASP Top 10 之後的 Web 漏洞，並知道如何避免它們
• 瞭解用戶端漏洞和安全編碼實踐
• 對密碼學有實際的瞭解
• 學習使用 PHP 的各種安全功能
• 瞭解典型的編碼錯誤以及如何避免這些錯誤
• 瞭解 PHP 框架的最新漏洞
• 獲取有關使用安全測試工具的實用知識
• 獲取有關安全編碼實踐的原始程式碼和進一步閱讀材料

觀眾

開發人員

綜合 SDL 核心培訓通過 Microsoft 安全開發生命週期 (SDL) 深入介紹了安全軟件設計、開發和測試。它提供了 SDL 基礎構建模塊的 100 級概述，隨後介紹了在開發過程的早期階段應用的設計技術，以檢測和修復缺陷。

在處理開發階段時，本課程概述了託管代碼和本機代碼中典型的安全相關編程錯誤。通過一系列實踐練習，參與者可以瞭解所討論漏洞的攻擊方法以及相關的緩解技術，體驗即時黑客攻擊的樂趣。介紹不同的安全測試方法後，演示了各種測試工具的有效性。參與者可以通過將工具應用於已討論的易受攻擊的代碼，瞭解這些工具的操作。

參與者將瞭解

安全、IT 安全和安全編碼的基本概念

熟悉 Microsoft 安全開發生命週期的關鍵步驟

學習安全設計和開發實踐

瞭解安全實施原則

理解安全測試方法論

• 獲取安全編碼實踐的來源和進一步閱讀材料

受衆

開發人員、經理

在熟悉漏洞和攻擊方法之後，參與者將瞭解安全測試的一般方法和方法，以及可用於揭示特定漏洞的技術。安全測試應從收集有關系統的資訊（ToC，即評估目標）開始，然後進行徹底的威脅建模，揭示所有威脅並對其進行評級，從而得出最合適的風險分析驅動測試計劃。

安全評估可以在 SDLC 的各個步驟進行，因此我們討論了設計審查、代碼審查、偵察和有關系統的資訊收集、測試實施以及測試和強化環境以實現安全部署。詳細介紹了許多安全測試技術，例如污點分析和基於啟發式的代碼審查、靜態代碼分析、動態 Web 漏洞測試或模糊測試。介紹了各種類型的工具，這些工具可用於自動對軟體產品進行安全評估，這也得到了許多練習的支援，我們在其中執行這些工具來分析已經討論過的易受攻擊的代碼。許多現實生活中的案例研究支援更好地瞭解各種脆弱性。

本課程使測試人員和QA人員能夠充分規劃和精確執行安全測試，選擇並使用最合適的工具和技術來發現隱藏的安全漏洞，從而提供可在第二天工作日應用的基本實踐技能。

參加本課程的學員將

• 瞭解安全、IT 安全和安全編碼的基本概念
• 瞭解 OWASP Top Ten 之後的 Web 漏洞，並知道如何避免它們
• 瞭解用戶端漏洞和安全編碼實踐
• 瞭解安全測試方法和方法
• 獲取有關使用安全測試技術和工具的實用知識
• 獲取有關安全編碼實踐的原始程式碼和進一步閱讀材料

觀眾

開發人員、測試人員

保護可通過Web訪問的應用程序，需要時刻了解當前攻擊方法和趨勢的安全專業人員。存在多種技術和環境，可以舒適地開發Web應用程序。不僅要了解這些平臺相關的安全問題，還要了解所有適用於各種開發工具的通用漏洞。

本課程概述了Web應用程序中的適用安全解決方案，特別關注最重要的加密解決方案。各種Web應用程序漏洞在服務器端（遵循OWASP Top Ten）和客戶端都有所展示，通過相關攻擊進行演示，並隨後介紹推薦的編碼技術和緩解方法，以避免相關問題。安全編碼的主題通過討論輸入驗證、安全功能的不當使用和代碼質量等典型安全相關編程錯誤來總結。

測試在確保Web應用程序的安全性和穩健性方面起着非常重要的作用。可以應用各種方法——從高級審計到滲透測試再到道德黑客——來發現不同類型的漏洞。然而，如果想超越容易發現的問題，安全測試應精心計劃並正確執行。請記住：安全測試人員應儘可能發現所有漏洞以保護系統，而攻擊者只需找到一個可利用的漏洞即可滲透系統。

實踐練習將幫助理解Web應用程序漏洞、編程錯誤以及最重要的緩解技術，同時通過動手試用各種測試工具，從安全掃描器、嗅探器、代理服務器、模糊測試工具到靜態源代碼分析器，本課程提供了第二天即可在工作場所應用的必備實踐技能。

參加本課程的學員將

• 瞭解安全、IT安全和安全編碼的基本概念
• 學習超越OWASP Top Ten的Web漏洞，並瞭解如何避免它們
• 學習客戶端漏洞和安全編碼實踐
• 對密碼學有實際的理解
• 瞭解安全測試方法和方法論
• 獲得使用安全測試技術和工具的實踐經驗
• 瞭解各種平臺、框架和庫中的最新漏洞
• 獲取安全編碼實踐的來源和進一步閱讀材料

受衆

開發人員、測試人員

Web Application Security 是保护线上应用程序免受现代安全威胁和漏洞影响的学科，包括那些与平台无关并影响核心应用程序架构和输入处理的问题。

本课程为讲师引导的培训（线上或线下），面向中级开发者，旨在帮助他们理解并应用安全编码技术，以减轻Web漏洞并实施稳健的Web应用程序安全。

通过本课程，学员将能够：

• 理解安全、IT安全及安全编码的基本概念。
• 学习OWASP十大漏洞之外的Web漏洞，并掌握如何避免它们。
• 学习客户端漏洞及安全编码实践。
• 对密码学有实际理解。
• 理解Web服务的安全概念。
• 获得使用安全测试工具的实践经验。
• 获取安全编码实践的参考资料和进一步阅读材料。

课程形式

• 互动讲座与讨论。
• 大量练习与实践。
• 在实时实验环境中进行动手操作。

课程定制选项

• 如需为本课程定制培训，请联系我们安排。

在這個講師指導的培訓課程中，學員將學習如何制定適當的安全策略，以應對DevOps安全挑戰。

這種由講師指導的現場培訓 （線上或現場）面向尋求保護其 Web 應用程式和服務的開發人員、工程師和架構師。

在本次培訓結束時，參與者將能夠使用 OWASP 測試框架和工具集成、測試、保護和分析其 Web 應用程式和服務

本課程在香港旨在幫助以下方面：

1. 幫助開發者掌握撰寫安全編碼的技巧
2. 幫助軟體測試人員在應用程式發佈到生產環境之前測試其安全性
3. 幫助軟體架構師了解應用程式周圍的風險
4. 幫助團隊領導者為開發者設定安全基準
5. 幫助網站管理員配置伺服器以避免錯誤配置

本課程通過Open Web Application Security Project (OWASP) 的測試方法，涵蓋Java的安全編碼概念和原則。Open Web Application Security Project是一個線上社區，致力於創建免費的文章、方法論、文檔、工具和技術，專注於Web應用安全領域。

本課程涵蓋通過開放Web應用安全項目（OWASP）測試方法論的ASP.net安全編碼概念和原則。OWASP是一個線上社區，提供免費的文章、方法論、文檔、工具和技術，專注於Web應用安全領域。

本課程探討了.NET框架的安全特性，以及如何保護Web應用程序。

描述：

本課程將使學員全面了解開發人員使用的安全概念、Web 應用程式概念和框架，以便能夠利用和保護目標應用程式。在當今世界，這種情況正在迅速變化，因此使用的所有技術也都在快速變化，Web 應用程式 24/7 全天候受到駭客攻擊。為了保護應用程式免受外部攻擊者的攻擊，人們必須了解構成 Web 應用程式的所有點點滴滴，例如 Web 應用程式開發中使用的框架、語言和技術，以及更多。問題在於，攻擊者只需要知道一種闖入應用程式的方法，而開發人員（或系統管理員）必須知道所有可能的漏洞利用，以防止這種情況發生。正因為如此，擁有防彈安全的 Web 應用程式確實很困難，而且在大多數情況下，Web 應用程式很容易受到某些東西的攻擊。網路犯罪分子和臨時駭客經常利用這種情況，可以通過正確的規劃、開發、Web 應用程式測試和配置來最大限度地減少這種情況。

目標：

為您提供了解和識別即時 Web 應用程式中可能的漏洞以及利用已識別漏洞所需的技能和知識。由於通過識別和利用階段獲得的知識，您應該能夠保護 Web 應用程式免受類似的攻擊。完成本課程后，參與者將能夠理解和識別 OWASP 前 10 個漏洞，並將這些知識納入 Web 應用程式保護方案。

觀眾：

開發人員、員警和其他執法人員、國防和軍事人員、e-Business 安全專業人員、系統管理員、銀行、保險和其他專業人員、Go政府機構、IT 經理、CISO、CTO。