C/C++ Secure Coding培訓

本次由講師主導的培訓在香港（線上或線下）面向希望使用高級C++編程技術開發複雜、安全和高性能系統與應用程序的開發者。

培訓結束後，參與者將能夠：

• 搭建包含所有C++庫、包和框架的開發環境。
• 理解C++的特性、組件和基本元素。
• 使用高級編程技術創建複雜的C++應用程序。
• 學習如何編寫可讀性強、快速且安全的C++代碼。
• 瞭解C++語言中常見的安全隱患及其緩解方法。
• 實施代碼質量和安全控制的測試策略。
• 使用C++開發中的診斷和調試工具。

實現安全的網絡應用頗具挑戰性，即使開發者此前已使用過各類密碼學構建模塊（如加密和數字簽名）。爲使參與者理解這些密碼學原語的作用和用法，課程首先介紹安全通信的主要需求——安全確認、完整性、機密性、遠程識別和匿名性。同時展示可能破壞這些需求的典型問題及其現實解決方案。

網絡安全的核心方面是密碼學。因此，課程重點討論對稱加密、哈希、非對稱加密和密鑰協商中最重要的算法。課程不深入探討數學背景，而是從開發者視角進行分析，展示典型用例示例以及與使用加密技術相關的實際考量因素，例如公鑰基礎設施。此外，還介紹了許多安全通信領域的安全協議，並深入探討了應用最廣泛的協議族，如 IPSEC 和 SSL/TLS。

課程還討論了與特定密碼算法及密碼協議相關的主流crypto弱點，包括 BEAST、CRIME、TIME、BREACH、FREAK、Logjam、Padding oracle、Lucky Thirteen、POODLE 等，以及 RSA 計時攻擊。針對每種問題，均描述實際考量因素和潛在後果，而不涉及深層數學細節。

最後，鑑於 XML 技術在網絡應用的數據交換中佔據核心地位，課程闡述了 XML 的安全方面。內容包括在 Web 服務和 SOAP 消息中使用 XML 的方法，以及 XML Signature（XML 簽名）和 XML Encryption（XML 加密）等保護措施；同時還介紹了這些保護措施的弱點，以及 XML 特有的安全問題，如 XML 注入、XML 外部實體 (XXE) 攻擊、XML 炸彈和 XPath 注入。

參加本課程的參與者將

• 理解安全、IT 安全和安全編碼的基本概念
• 理解安全通信的需求
• 學習不同 OSI 層級上的網絡攻擊與防禦
• 掌握密碼學的實用知識
• 理解關鍵安全協議
• 瞭解針對密碼系統的最新攻擊手段
• 獲取關於近期相關漏洞的信息
• 理解 Web 服務的安全概念
• 獲取有關安全編碼實踐的參考資料和延伸閱讀

受衆

開發者，專業人士

如今，有多種編程語言可用於將代碼編譯到.NET和ASP.NET框架。該環境爲安全開發提供了強大的工具，但開發人員需要了解如何應用架構和代碼級的編程技術，以實現所需的安全功能，並避免漏洞或限制其利用。

本課程旨在通過大量實踐練習，教會開發人員如何防止不受信任的代碼執行特權操作，通過強身份驗證和授權保護資源，提供遠程過程調用，處理會話，爲某些功能引入不同的實現方式等。

不同漏洞的介紹從展示使用.NET時常見的一些典型編程問題開始，而ASP.NET漏洞的討論還涉及各種環境設置及其影響。最後，ASP.NET特定漏洞的主題不僅涉及一些常見的Web應用安全挑戰，還涉及特殊問題和攻擊方法，如攻擊ViewState或字符串終止攻擊。

參加本課程的學員將

• 瞭解安全、IT安全和安全編碼的基本概念
• 學習OWASP Top Ten之外的Web漏洞，並瞭解如何避免它們
• 學習使用.NET開發環境的各種安全功能
• 獲得使用安全測試工具的實踐經驗
• 瞭解典型的編碼錯誤及如何避免它們
• 獲取一些最近的.NET和ASP.NET漏洞信息
• 獲取安全編碼實踐的參考資料和進一步閱讀材料

目標受衆

開發人員

本課程爲PHP開發者提供 essential 技能，幫助其構建抵禦現代互聯網攻擊的健壯應用。課程通過基於PHP的案例講解Web漏洞，內容超越OWASP十大安全風險，涵蓋各類注入攻擊、腳本注入、針對PHP會話處理的攻擊、不安全的直接對象引用、文件上傳安全問題等。PHP相關漏洞被歸類爲以下幾類標準脆弱性：缺失或不正確的輸入驗證、錯誤與異常處理不當、安全特性誤用以及時序與狀態相關問題。後者包括open_basedir繞過拒絕服務攻擊（如魔術浮點數利用）以及哈希表碰撞攻擊。在所有案例中，參與者將掌握應對上述風險所需的關鍵技術與函數。

課程特別關注客戶端安全，解決JavaScript、Ajax和HTML5的安全問題。此外還介紹了PHP相關的多種安全擴展庫，包括用於加密的hash、mcrypt和OpenSSL，以及用於輸入驗證的Ctype、ext/filter和HTML Purifier。課程還將結合PHP配置（設置php.ini）、Apache及一般服務器環境，提供最佳加固實踐指南。最後，課程將介紹開發者與測試人員可用的多種安全測試工具與技術，包括漏洞掃描器、滲透測試與利用包、嗅探器、代理服務器、模糊測試工具及靜態源代碼分析器。

無論是漏洞講解還是配置實踐，課程均輔以大量動手實驗，演示成功攻擊的後果，展示如何應用緩解技術，並介紹各類擴展庫和工具的使用。

參與本課程的學習者將

• 理解安全、IT安全及安全編碼的基本概念
• 瞭解OWASP Top Ten之外的Web漏洞，並掌握如何規避它們
• 學習客戶端漏洞與安全編碼實踐
• 具備密碼學的實踐理解能力
• 學會使用PHP的各種安全特性
• 瞭解常見的編碼錯誤及其規避方法
• 獲知PHP框架近期的安全漏洞信息
• 獲得使用安全測試工具的實踐經驗
• 獲取安全編碼實踐相關的源碼及延伸閱讀資料

目標受衆

開發者

綜合 SDL 核心培訓通過 Microsoft 安全開發生命週期 (SDL) 深入介紹了安全軟件設計、開發和測試。它提供了 SDL 基礎構建模塊的 100 級概述，隨後介紹了在開發過程的早期階段應用的設計技術，以檢測和修復缺陷。

在處理開發階段時，本課程概述了託管代碼和本機代碼中典型的安全相關編程錯誤。通過一系列實踐練習，參與者可以瞭解所討論漏洞的攻擊方法以及相關的緩解技術，體驗即時黑客攻擊的樂趣。介紹不同的安全測試方法後，演示了各種測試工具的有效性。參與者可以通過將工具應用於已討論的易受攻擊的代碼，瞭解這些工具的操作。

參與者將瞭解

安全、IT 安全和安全編碼的基本概念

熟悉 Microsoft 安全開發生命週期的關鍵步驟

學習安全設計和開發實踐

瞭解安全實施原則

理解安全測試方法論

• 獲取安全編碼實踐的來源和進一步閱讀材料

受衆

開發人員、經理

C++是否適用於微控制器和即時操作系統等嵌入式系統？

在微控制器中應使用面向對象編程嗎？

C++與硬件過於疏遠，以致無法高效運行嗎？

本節由講師指導的實戰課程解答上述問題。通過討論和實踐演示如何利用C++編寫準確、可讀性強且高效的嵌入式系統代碼。學員將親手構建示例嵌入式應用，實現理論與實踐結合。

完成培訓後，學員將能夠：

• 掌握面向對象建模、嵌入式軟件編程和即時編程原理
• 編寫體積小、速度快、安全性高的嵌入式系統代碼
• 避免模板、異常及其他語言特性導致代碼膨脹
• 理解在安全關鍵及即時系統中使用C++的相關問題
• 在目標設備上調試C++程序

受衆對象

• 開發人員
• 設計師

課程形式

• 部分授課，部分討論，練習爲主，強化動手實踐

這是一個為期2天的課程，旨在幫助C++程式設計師在他們的產業中應用新的C++11標準。對於金融應用程式開發者來說尤其有用，課程涵蓋所有新功能，並提供在實驗室中執行的程式碼範例。

此講師主導的現場直播培訓在香港（線上或線下）舉辦，旨在幫助希望利用CUDA來加速應用程序、編寫高性能GPU內核並利用並行算法庫進行科學計算、數據處理及機器學習工作的C++開發者。

在這個講師指導的培訓課程中，學員將學習如何制定適當的安全策略，以應對DevOps安全挑戰。

EC-Council Certified DevSecOps Engineer (ECDE) 是一門實作課程，旨在讓專業人員掌握在 DevOps 生命週期中嵌入安全性的技能，從而實現從規劃到部署的安全軟件開發。

這門由講師主導的培訓（線上或線下）針對中級軟件和 DevOps 專業人員，他們希望將安全實踐整合到 CI/CD 管道中，確保代碼的安全合規交付。

在培訓結束時，參與者將能夠：

• 理解 DevSecOps 的原則與實踐。
• 使用自動化工具保護 CI/CD 管道的每個階段。
• 實施安全編碼實踐與漏洞掃描。
• 通過實作實驗室與複習，為 ECDE 認證做好準備。

課程形式

• 互動式講座與討論。
• 在模擬管道中實作使用 DevSecOps 工具。
• 專注於安全開發與部署的指導練習。

課程定制選項

• 如需根據您團隊的工作流程或工具鏈定制此課程的培訓，請聯繫我們安排。

本培訓旨在介紹 C++ 作為在應用物件導向嵌入式系統開發時 C 語言的常見擴展。由於 C++ 包含了 C 語言，本培訓將以自然的方式帶您從 C 語言過渡到 C++，並深入探討 C++ 的實現細節。這對於在資源有限的嵌入式環境中應用 C++ 時尤其有價值。C++ 標準最近正在進行重大修訂，即 C++11，並且新的 C++14 也即將推出。本課程將涵蓋這些修訂中引入的主題，這些主題特別有用，例如高效能記憶體管理、利用多核心環境的並行處理，以及接近硬體的裸機編程。

目标/收益

本课程的主要目标是使您能够以“正确的方式”使用 C++。

• 介紹 C++ 作為嵌入式系統環境中的物件導向語言替代方案
• 展示與 C 語言的相似之處與差異
• 理解不同的記憶體管理策略——特別是 C++11 引入的移動語義
• 深入探討並理解 C++ 中不同範式在機器碼中的表現
• 使用模板實現類型安全的高階抽象，用於接近硬體的裸機編程——記憶體映射 I/O 以及中斷處理——特別是 C++11 引入的可變模板
• 提供一些特別適用於嵌入式環境的設計模式
• 通過一些練習來實踐某些概念

观众/参与者

本培训面向 C++- 打算在嵌入式系统环境中开始使用 C++ 的程序员。

以前的知识

该课程需要 C++ 编程的基本知识，对应于我们的培训“C++ – 1 级”和“C++ 2 级 – 介绍 C++11”。

实践练习

在培训期间，您将在许多练习中练习所呈现的概念。我们将使用 Eclipse 开放且免费的集成开发环境

此香港課程旨在協助達成以下目標：

1. 協助開發人員掌握編寫安全程式碼的技術
2. 協助軟體測試人員在應用發布到生產環境前，測試其安全性
3. 協助軟體架構師理解圍繞應用的各種風險
4. 協助團隊領導人為開發人員設定安全基準
5. 協助網站管理員配置伺服器，以避免錯誤配置

本課程通過Open Web Application Security Project (OWASP) 的測試方法，涵蓋Java的安全編碼概念和原則。Open Web Application Security Project是一個線上社區，致力於創建免費的文章、方法論、文檔、工具和技術，專注於Web應用安全領域。