聯繫我們

課程簡介

1. IT安全與安全編碼

  • 基本安全原則:在Java應用程序中理解機密性、完整性和可用性(CIA)。
  • 安全軟件開發生命週期(SSDLC):從需求到部署的集成安全。
  • 安全編碼範式:深度防禦、最小權限和故障安全默認值。
  • 標準漏洞分類:理解CWE(常見弱點枚舉)和OWASP。

2. Web應用程序安全

  • 深入探討OWASP十大漏洞:詳細分析注入、身份驗證漏洞和敏感數據泄露。
  • 跨站腳本攻擊(XSS):在Java/JSP中的反射型、存儲型和DOM型XSS場景。
  • 跨站請求僞造(CSRF):攻擊機制及Anti-CSRF令牌的實現。
  • 會話管理:Cookie安全、會話固定和超時管理。
  • API安全:保護REST和SOAP端點免受濫用。

3. Web服務安全

  • Web服務與傳統Web應用的區別:攻擊面的不同。
  • 傳輸層安全:爲Java客戶端和服務器配置SSL/TLS。
  • 消息安全:在負載級別確保完整性和機密性。
  • 身份驗證標準:OAuth 2.0、OpenID Connect和JWT(JSON Web令牌)的實現。

4. XML安全

  • XML解析漏洞:防止XML外部實體(XXE)攻擊。
  • XML模式驗證:嚴格模式實施的最佳實踐。
  • XML數字簽名:實現簽名以確保不可否認性。
  • XML加密:加密XML內容的標準方法。

5. Java安全基礎

  • Java安全架構:java.security包和提供者架構。
  • 安全提供者:安裝和配置如Bouncy Castle等提供者。
  • 訪問控制:策略文件、權限和安全管理器(傳統與現代)。
  • 密鑰庫管理:創建和管理用於證書的密鑰庫和信任庫。

6. 實用密碼學

  • 加密算法:對稱加密(AES)、非對稱加密(RSA、ECC)和哈希算法(SHA-256/512)概述。
  • 隨機數生成:java.util.Randomjava.security.SecureRandom的危險性。
  • 密鑰管理:密鑰生成、存儲和輪換策略。
  • Java加密架構(JCA):使用CipherMessageDigestMac類。
  • Java加密擴展(JCE):理解策略文件和無限制強度管轄。

7. Java安全服務

  • Java中的SSL/TLS:使用SSLSocketFactoryHttpsURLConnection
  • 信任管理器:爲私有PKI環境自定義信任驗證。
  • 認證器:使用Authenticator.getDefault()進行編程式認證。
  • 證書解析:以編程方式讀取和分析X.509證書。

8. Java EE安全

  • 聲明式安全:使用web.xml和註解實現基於角色的訪問控制(RBAC)。
  • 編程式安全:使用HttpServletRequest.isUserInRole()getRemoteUser()
  • JAAS(Java認證和授權服務):配置login.conf並實現LoginModule
  • Servlet安全:容器管理的安全約束和認證方法(FORM、BASIC、DIGEST)。

9. 常見編碼錯誤和漏洞

  • 不安全的反序列化:ObjectInputStream的風險及繞過安全檢查。
  • 命令注入:緩解操作系統級執行漏洞。
  • 路徑遍歷:清理文件系統輸入以防止目錄遍歷。
  • 反射濫用:與java.lang.reflect相關的風險及繞過訪問控制。
  • 硬編碼憑證:從源代碼中識別和移除敏感信息。
  • 密碼學實現錯誤:使用ECB模式、弱密鑰或靜態IV。

10. 知識來源

  • 靜態分析工具:使用SonarQube、Checkmarx和Fortify進行自動掃描。
  • 動態分析工具:Burp Suite和OWASP ZAP概述。
  • CVE數據庫:如何跟蹤和應對新的Java框架漏洞。
  • 推薦閱讀:書籍、文檔和安全編碼檢查清單列表。

最低要求

無。

 21 小時

人數


每位參與者的報價

客戶評論 (4)

即將到來的課程

課程分類