How to Write Secure Code培訓

實現安全的網絡應用頗具挑戰性，即使開發者此前已使用過各類密碼學構建模塊（如加密和數字簽名）。爲使參與者理解這些密碼學原語的作用和用法，課程首先介紹安全通信的主要需求——安全確認、完整性、機密性、遠程識別和匿名性。同時展示可能破壞這些需求的典型問題及其現實解決方案。

網絡安全的核心方面是密碼學。因此，課程重點討論對稱加密、哈希、非對稱加密和密鑰協商中最重要的算法。課程不深入探討數學背景，而是從開發者視角進行分析，展示典型用例示例以及與使用加密技術相關的實際考量因素，例如公鑰基礎設施。此外，還介紹了許多安全通信領域的安全協議，並深入探討了應用最廣泛的協議族，如 IPSEC 和 SSL/TLS。

課程還討論了與特定密碼算法及密碼協議相關的主流crypto弱點，包括 BEAST、CRIME、TIME、BREACH、FREAK、Logjam、Padding oracle、Lucky Thirteen、POODLE 等，以及 RSA 計時攻擊。針對每種問題，均描述實際考量因素和潛在後果，而不涉及深層數學細節。

最後，鑑於 XML 技術在網絡應用的數據交換中佔據核心地位，課程闡述了 XML 的安全方面。內容包括在 Web 服務和 SOAP 消息中使用 XML 的方法，以及 XML Signature（XML 簽名）和 XML Encryption（XML 加密）等保護措施；同時還介紹了這些保護措施的弱點，以及 XML 特有的安全問題，如 XML 注入、XML 外部實體 (XXE) 攻擊、XML 炸彈和 XPath 注入。

參加本課程的參與者將

• 理解安全、IT 安全和安全編碼的基本概念
• 理解安全通信的需求
• 學習不同 OSI 層級上的網絡攻擊與防禦
• 掌握密碼學的實用知識
• 理解關鍵安全協議
• 瞭解針對密碼系統的最新攻擊手段
• 獲取關於近期相關漏洞的信息
• 理解 Web 服務的安全概念
• 獲取有關安全編碼實踐的參考資料和延伸閱讀

受衆

開發者，專業人士

編寫安全的C和C++代碼需要嚴格防禦惡意利用、內存腐蝕和輸入驗證繞過。本課程探討包括緩衝區溢出、釋放後使用、整數溢出和類型混淆在內的漏洞模式。學員將應用安全編碼規範、靜態分析工具和防禦性編程技術來消除弱點，強制實施輸入清理，並交付能夠抵禦網絡攻擊的堅固軟件。

如今，有多種編程語言可用於將代碼編譯到.NET和ASP.NET框架。該環境爲安全開發提供了強大的工具，但開發人員需要了解如何應用架構和代碼級的編程技術，以實現所需的安全功能，並避免漏洞或限制其利用。

本課程旨在通過大量實踐練習，教會開發人員如何防止不受信任的代碼執行特權操作，通過強身份驗證和授權保護資源，提供遠程過程調用，處理會話，爲某些功能引入不同的實現方式等。

不同漏洞的介紹從展示使用.NET時常見的一些典型編程問題開始，而ASP.NET漏洞的討論還涉及各種環境設置及其影響。最後，ASP.NET特定漏洞的主題不僅涉及一些常見的Web應用安全挑戰，還涉及特殊問題和攻擊方法，如攻擊ViewState或字符串終止攻擊。

參加本課程的學員將

• 瞭解安全、IT安全和安全編碼的基本概念
• 學習OWASP Top Ten之外的Web漏洞，並瞭解如何避免它們
• 學習使用.NET開發環境的各種安全功能
• 獲得使用安全測試工具的實踐經驗
• 瞭解典型的編碼錯誤及如何避免它們
• 獲取一些最近的.NET和ASP.NET漏洞信息
• 獲取安全編碼實踐的參考資料和進一步閱讀材料

目標受衆

開發人員

本課程爲PHP開發者提供 essential 技能，幫助其構建抵禦現代互聯網攻擊的健壯應用。課程通過基於PHP的案例講解Web漏洞，內容超越OWASP十大安全風險，涵蓋各類注入攻擊、腳本注入、針對PHP會話處理的攻擊、不安全的直接對象引用、文件上傳安全問題等。PHP相關漏洞被歸類爲以下幾類標準脆弱性：缺失或不正確的輸入驗證、錯誤與異常處理不當、安全特性誤用以及時序與狀態相關問題。後者包括open_basedir繞過拒絕服務攻擊（如魔術浮點數利用）以及哈希表碰撞攻擊。在所有案例中，參與者將掌握應對上述風險所需的關鍵技術與函數。

課程特別關注客戶端安全，解決JavaScript、Ajax和HTML5的安全問題。此外還介紹了PHP相關的多種安全擴展庫，包括用於加密的hash、mcrypt和OpenSSL，以及用於輸入驗證的Ctype、ext/filter和HTML Purifier。課程還將結合PHP配置（設置php.ini）、Apache及一般服務器環境，提供最佳加固實踐指南。最後，課程將介紹開發者與測試人員可用的多種安全測試工具與技術，包括漏洞掃描器、滲透測試與利用包、嗅探器、代理服務器、模糊測試工具及靜態源代碼分析器。

無論是漏洞講解還是配置實踐，課程均輔以大量動手實驗，演示成功攻擊的後果，展示如何應用緩解技術，並介紹各類擴展庫和工具的使用。

參與本課程的學習者將

• 理解安全、IT安全及安全編碼的基本概念
• 瞭解OWASP Top Ten之外的Web漏洞，並掌握如何規避它們
• 學習客戶端漏洞與安全編碼實踐
• 具備密碼學的實踐理解能力
• 學會使用PHP的各種安全特性
• 瞭解常見的編碼錯誤及其規避方法
• 獲知PHP框架近期的安全漏洞信息
• 獲得使用安全測試工具的實踐經驗
• 獲取安全編碼實踐相關的源碼及延伸閱讀資料

目標受衆

開發者

綜合 SDL 核心培訓通過 Microsoft 安全開發生命週期 (SDL) 深入介紹了安全軟件設計、開發和測試。它提供了 SDL 基礎構建模塊的 100 級概述，隨後介紹了在開發過程的早期階段應用的設計技術，以檢測和修復缺陷。

在處理開發階段時，本課程概述了託管代碼和本機代碼中典型的安全相關編程錯誤。通過一系列實踐練習，參與者可以瞭解所討論漏洞的攻擊方法以及相關的緩解技術，體驗即時黑客攻擊的樂趣。介紹不同的安全測試方法後，演示了各種測試工具的有效性。參與者可以通過將工具應用於已討論的易受攻擊的代碼，瞭解這些工具的操作。

參與者將瞭解

安全、IT 安全和安全編碼的基本概念

熟悉 Microsoft 安全開發生命週期的關鍵步驟

學習安全設計和開發實踐

瞭解安全實施原則

理解安全測試方法論

• 獲取安全編碼實踐的來源和進一步閱讀材料

受衆

開發人員、經理

在這個講師指導的培訓課程中，學員將學習如何制定適當的安全策略，以應對DevOps安全挑戰。

本次世界級、前沿、實踐性的研討會，讓參與者深入體驗現代CI/CD管道安全的關鍵現實。專爲渴望掌握高級管道防禦技術的安全專業人員、DevOps工程師和開發人員設計，培訓結合了即時攻擊模擬、行業領先工具和實用防禦技術。

EC-Council Certified DevSecOps Engineer (ECDE) 是一門實作課程，旨在讓專業人員掌握在 DevOps 生命週期中嵌入安全性的技能，從而實現從規劃到部署的安全軟件開發。

這門由講師主導的培訓（線上或線下）針對中級軟件和 DevOps 專業人員，他們希望將安全實踐整合到 CI/CD 管道中，確保代碼的安全合規交付。

在培訓結束時，參與者將能夠：

• 理解 DevSecOps 的原則與實踐。
• 使用自動化工具保護 CI/CD 管道的每個階段。
• 實施安全編碼實踐與漏洞掃描。
• 通過實作實驗室與複習，為 ECDE 認證做好準備。

課程形式

• 互動式講座與討論。
• 在模擬管道中實作使用 DevSecOps 工具。
• 專注於安全開發與部署的指導練習。

課程定制選項

• 如需根據您團隊的工作流程或工具鏈定制此課程的培訓，請聯繫我們安排。

基於最新的 OWASP GenAI Security Project 指導方針，學員將通過實操練習和真實場景，學習識別、評估和緩解特定於 AI 的威脅。

本次由講師主導的培訓在香港（線上或線下）進行，面向希望探索並實施OWASP Top 10參考標準以保護其Web應用的開發者和領導者。

培訓結束後，參與者將能夠使用OWASP Top 10文檔來制定策略、實施、保護並監控其Web應用和服務。

本課程爲講師指導的培訓（香港，線上或線下），面向希望應用WSTG測試框架、原則和技術來保護其Web應用和服務的開發者、工程師和架構師。

在培訓結束時，參與者將能夠：

• 使用WSTG在Web開發生命週期中實施測試流程和技術。
• 探索不同的測試技術，根據業務需求定製WSTG框架。
• 執行各種安全測試方法，保護Web應用免受風險和攻擊。
• 創建評估報告，記錄安全測試發現和結果。

本課程通過Open Web Application Security Project (OWASP) 的測試方法，涵蓋Java的安全編碼概念和原則。Open Web Application Security Project是一個線上社區，致力於創建免費的文章、方法論、文檔、工具和技術，專注於Web應用安全領域。