How to Write Secure Code培訓

實現安全的網絡化應用程序具有挑戰性，即便開發者此前曾使用過各種加密構建模塊（如加密和數字簽名）。為使參與者理解這些加密原語的作用和用途，首先會奠定安全通信主要需求——安全確認、完整性、機密性、遠程身份鑒定和匿名性——的堅實基礎，同時介紹可能破壞這些需求的典型問題以及現實世界中的解決方案。

由於密碼學是網絡安全的關鍵方面，因此還討論了对稱加密、哈希、非對稱加密和密鑰協議中最重要的加密算法。本書並未深入探討數學背景，而是從開發者角度出發，展示典型用例示例，並闡述與使用加密技術相關的實際考量，例如公鑰基礎設施（PKI）。課程介紹了安全通信各個領域的安全協議，並深入討論應用最廣泛的協議族，如 IPSEC 和 SSL/TLS。

课程同时讨论了与特定加密算法和加密协议相关的典型_crypto_漏洞，例如 BEAST、CRIME、TIME、BREACH、FREAK、Logjam、填充或acles、Lucky Thirteen、POODLE 等，以及 RSA 定時攻擊。针对每个问题，描述了实际考量和潜在后果，且同样避免深入数学细节。

最后，鉴于 XML 技术是网络化应用数据交换的核心，课程描述了 XML 的安全方面。这包括在 Web 服务和 SOAP 消息中使用 XML，以及诸如 XML 签名和 XML 加密等防护措施——此外还涉及这些防护措施的弱点以及 XML 特有的安全问题，如 XML 注入、XML 外部实体（XXE）攻击、XML 炸弹和 XPath 注入。

参加本课程的人员将

• 理解安全、IT 安全和安全编码的基本概念
• 理解安全通信的需求
• 了解不同 OSI 层级的网络攻击与防御
• 对密码学有实际理解
• 理解关键安全协议
• 理解针对密码系统的一些近期攻击
• 获取有关一些近期相关漏洞的信息
• 理解 Web 服务的安全概念
• 获取关于安全编码实践的资料和延伸阅读

受眾

開發者, 專業人士

撰寫安全的 C 和 C++ 程式碼需要嚴密的防護，以抵禦惡意利用、記憶體損壞及輸入驗證繞過。本課程探討緩衝區溢位、釋放後使用、整數溢位及型別混淆等漏洞模式。學員將應用安全編碼指南、靜態分析工具和防禦性程式設計技巧，以消除弱點、強制執行輸入清洗，並交付具備韌性、能抵禦網路攻擊的軟體。

即使是經驗豐富的 Java 程式設計師，也未必能掌握 Java 提供的所有安全服務，同時也可能 unaware 與 Java Web 應用程式相關的不同漏洞。

本課程除介紹標準 Java 版的安全元件外，還涵蓋 Java 企業版 (JEE) 和 Web 服務的安全問題。討論特定服務前會先講解加密基礎知識和安全通訊原理。透過多項實作練習，學員將學習 JEE 中的宣告式與程式碼式安全技術，並探討 Web 服務的傳輸層及端到端安全性。課程提供多次實用練習，讓參與者親自嘗試所講授的 API 和工具。

本課程還詳細解釋 Java 語言與平台中最常見且嚴重的程式設計缺陷，以及相關的 Web 漏洞。除了典型的 Java 程式設計師常犯的錯誤外，所介紹的安全漏洞涵蓋了語言特定問題以及來自執行環境的問題。所有漏洞及其相關攻擊均透過簡單易懂的實作進行示範，並提供建議的編碼指南和緩解技術。

參與本課程的學員將

• 理解安全、資訊安全和安全編碼的基本概念
• 了解超越 OWASP Top Ten 的 Web 漏洞，並知道如何避免它們
• 理解 Web 服務的安全概念
• 學習使用 Java 開發環境中的各種安全功能
• 具備加密的實用理解
• 理解 Java EE 的安全解決方案
• 了解常見的編碼錯誤及其避免方法
• 獲取關於 Java 框架中近期漏洞的資訊
• 獲得使用安全測試工具的實務知識
• 取得有關安全編碼實踐的來源和進一步閱讀材料

目標受眾

開發人員

如今有多種編程語言可用於將代碼編譯到 .NET 和 ASP.NET 框架中。該環境為安全開發提供了強大的手段，但開發人員應了解如何應用架構級和編碼級的編程技術，以實現所需的安全功能並避免漏洞或限制其利用。

本課程的宗旨是通過大量實操練習，教導開發人員如何防止不受信任的代碼執行特權操作，通過強身份驗證和授權來保護資源，提供遠程過程調用，處理會話，為特定功能引入不同的實現方式等等。

不同漏洞的介紹始於展示在使用 .NET 時常見的一些典型編程問題。而關於 ASP.NET 漏洞的討論則涉及各種環境設置及其影響。最後，ASP.NET 特有漏洞的主題不僅涵蓋一些通用 Web 應用程序安全挑戰，還涉及特殊問題和攻擊方法，如攻擊 ViewState 或字符串終結攻擊。

參加本課程的學員將

• 了解安全、IT 安全和安全編碼的基本概念
• 學習 OWASP Top Ten 之外的 Web 漏洞，並知道如何避免它們
• 學習使用 .NET 開發環境中的各種安全功能
• 獲得使用安全測試工具的實用知識
• 了解典型的編程錯誤及其避免方法
• 獲取有關 .NET 和 ASP.NET 中一些最新漏洞的信息
• 獲取關於安全編碼實踐的源代碼和進一步閱讀材料

受眾

開發人員

本課程為 PHP 開發人員提供必要技能，使其應用程式能抵禦透過網路進行的當代攻擊。課程透過基於 PHP 的範例探討網頁漏洞，內容超越 OWASP 前十大漏洞，涵蓋各類注入攻擊、腳本注入、針對 PHP 會話處理的攻擊、不安全直接物件參考、檔案上傳問題等。PHP 相關漏洞依標準漏洞類型分組介紹，包括缺失或不當的輸入驗證、錯誤與異常處理不當、安全功能使用不當，以及時間與狀態相關問題。後者探討開源目錄繞過、透過浮點數誤差導致的中斷服務攻擊，或雜湊表碰撞攻擊。在各種情況下，參與者將熟悉 mitigating 所列風險的重要技術與函式。

課程特別關注客戶端安全，處理 JavaScript、Ajax 和 HTML5 的安全問題。介紹 PHP 的若干安全相關擴展，如用於密碼學的 hash、mcrypt 和 OpenSSL，或用於輸入驗證的 Ctype、ext/filter 和 HTML Purifier。最佳強化實務結合 PHP 配置（設定 php.ini）、Apache 以及伺服器整體進行說明。最後，概述開發人員與測試人員可使用的各種安全測試工具與技術，包括安全掃描器、滲透測試與攻擊套件、嗅探器、代理伺服器、模糊測試工具和靜態原始碼分析器。

漏洞介紹與配置實務均輔以多個實作練習，展示成功攻擊的後果，說明如何應用緩解技術，並引入各種擴展與工具的使用。

參加本課程的學員將

• 理解安全、資訊安全及安全編碼的基本概念
• 學習 OWASP 前十大之外的網頁漏洞，並知道如何避免它們
• 學習客戶端漏洞及安全編碼實務
• 具備密碼學的實務理解
• 學會使用 PHP 的各種安全功能
• 了解常見程式錯誤及其避免方法
• 了解 PHP 框架的最新漏洞
• 獲得使用安全測試工具的實務知識
• 獲取安全編碼實務的參考來源與進一步閱讀資料

受眾

開發人員

綜合 SDL 核心培訓課程透過微軟安全開發生命週期 (SDL) 深入介紹安全軟體的設計、開發和測試。它提供了 SDL 基礎構建塊的 100 級概述，隨後是應用於在開發過程早期階段檢測和修復缺陷的設計技術。

針對開發階段，該課程概述了托管代碼和本機代碼的典型相關安全編程漏洞。針對討論中的漏洞提出了攻擊方法以及相關的緩解技術，所有這些都通過一系列實踐練習進行解釋，為參與者提供現場黑客體驗。隨後介紹不同的安全測試方法，並演示各種測試工具的有效性。參與者可以通過應用工具於已經討論過的易受攻擊代碼的一系列實際練習來理解這些工具的運行原理。

參加本課程的學員將

理解安全、IT 安全和安全編碼的基本概念

熟悉微軟安全開發生命週期的必要步驟

學習安全和開發實踐

了解安全實施原則

理解安全測試方法論

• 獲取關於安全編碼實踐的來源和進一步閱讀材料

受眾

開發人員、經理

在 澳門 由導師帶領並進行的實作課程中，學員將學習如何制定適當的安全策略，以應對 DevOps 的安全挑戰。

這堂世界一流、前沿且實務導向的工作坊，讓參展者深入體驗現代 CI/CD 管道安全的嚴峻現實。本課程專為渴望掌握進階管道防護技巧的安全專家、DevOps 工程師以及開發人員設計，透過即時攻擊模擬與業界領先工具和實戰防禦技術的結合，提供沉浸式學習體驗。

EC-Council認證的DevSecOps工程師(ECDE)是一門實踐性課程，旨在為專業人員提供技能，將安全性嵌入DevOps生命週期，從規劃到部署實現安全的軟體開發。

這項由導師主導的現場培訓（線上或線下），針對希望將安全實踐整合至CI/CD管線的初級至中級軟體與DevOps專業人員設計，以確保程式碼交付的安全性和合規性。

完成本課程後，學員將能夠：

• 理解DevSecOps的原則與實踐。
• 使用自動化工具保護CI/CD管線的每個階段。
• 實施安全編碼實踐和漏洞掃描。
• 透過實務實驗室練習與複習，為ECDE認證考試做準備。

課程格式

• 互動式講授與討論。
• 在模擬管線中實際操作DevSecOps工具。
• 專注於安全開發與部署的引導練習。

客製化選項

• 若需根據您團隊的工作流程或工具鏈要求此課程的客製化培訓，請聯繫我們安排。

基於最新的 OWASP GenAI 安全項目指導方針，學員將通過動手練習和真實場景，學習識別、評估和緩解與 AI 相關的威脅。

此由講師指導的即時培訓在 澳門（線上或線下）進行，面向希望探索並實施 OWASP Top 10 參考標準以保護其網頁應用程式的網頁開發人員與主管。

完成本培訓後，參與者將能夠利用 OWASP Top 10 文件來規劃策略、實施、保護及監控其網頁應用程式與服務。

本課程由講師帶領，提供澳門（線上或線下）即時培訓方式，主要對象為希望將 WSTG 測試框架、原則與技術應用於保護其網路應用程式和服務的開發者、工程師及架構師。

完成本課程後，學員將能夠：

• 運用 WSTG 在網路開發生命週期中實施測試流程與技術。
• 探索不同的測試技術，根據業務需求客製化 WSTG 框架。
• 執行多種資安測試方法，以保護網路應用程式免受風險與攻擊。
• 編寫評估報告，記錄資安測試的发现与结果。

本課程透過開放網頁應用程式安全專案(OWASP)的測試方法，涵蓋使用Java進行安全編碼的概念與原則。開放網頁應用程式安全專案是一個線上社群，致力於提供免費的文章、方法論、文件、工具和技術資源，專攻網頁應用程式安全領域。

本課程涵蓋 ASP.NET 的安全編碼概念與原則，並採用開放式 Web 應用程式安全性計畫 (OWASP) 的測試方法論。OWASP 是一個線上社群，致力於在 Web 應用程式安全性領域提供免費的文章、方法論、文件、工具和技術。

此課程探討 Dot Net Framework 的安全功能，以及如何保護 Web 應用程式。