C/C++ Secure Coding培訓

這項於 台灣（線上或線下）舉辦的導師指導實作培訓，旨在協助開發人員運用進階 C++ 程式設計技巧，開發複雜、安全且高效能的系統與應用程式。

完成本培訓後，學員將能夠：

• 建置包含所有 C++ 函式庫、套件和框架的開發環境。
• 理解 C++ 的功能、元件和基本元素。
• 運用進階程式設計技巧建立複雜的 C++ 應用程式。
• 學習如何撰寫易讀、快速且安全的 C++ 程式碼。
• 了解 C++ 語言中常見的資安陷阱及其緩解方法。
• 實作用於確保程式碼品質和資安控制的測試策略。
• 在 C++ 開發中使用診斷和除錯工具。

即使開發人員先前已使用過各種加密構建塊（例如加密和數位簽章），實施安全的網際網路應用程式仍可能非常困難。為了讓參與者理解這些加密原語的角色與用途，我們首先提供關於安全通訊主要需求的紮實基礎——包括安全確認、完整性、保密性、遠端識別與匿名性——同時介紹可能損害這些需求的典型問題及真實世界的解決方案。

鑑於密碼學是網路安全的一個關鍵面向，課程也討論了對稱式密碼學、雜湊、非對稱式密碼學和金鑰協商中最重要的加密演算法。除了不深入探討數學背景外，我們從開發者的角度來討論這些元素，展示典型的用例範例以及與使用加密相關的實際考量，例如公開金鑰基礎設施（PKI）。課程也介紹了許多安全通訊領域的安全協定，並深入討論最廣泛使用的協定家族，如 IPSEC 和 SSL/TLS。

針對特定加密演算法和密碼學協定的典型加密弱點進行了討論，例如 BEAST、CRIME、TIME、BREACH、FREAK、Logjam、Padding oracle、Lucky Thirteen、POODLE 以及類似的弱點，還有 RSA 時間攻擊。在每個案例中，描述了每個問題的實際考量與潛在後果，同樣地，不深入探討數學細節。

最後，由於 XML 技術是網路應用程式資料交換的核心，課程描述了 XML 的安全方面。這包括在 Web 服務和 SOAP 訊息中使用 XML，以及保護措施如 XML Signature 和 XML Encryption——同時涵蓋這些保護措施的弱點以及 XML 特定的安全問題，例如 XML 注入、XML 外部實體（XXE）攻擊、XML 炸彈和 XPath 注入。

參加此課程的參與者將

• 理解安全、資訊安全和安全編碼的基本概念
• 理解安全通訊的需求
• 了解不同 OSI 層級的網路攻擊與防禦
• 對密碼學有實務性的理解
• 理解關鍵的安全協定
• 理解近期針對加密系統的攻击
• 獲取關於一些近期相關弱點的資訊
• 理解 Web 服務的安全概念
• 獲取有關安全編碼實踐的來源和進一步閱讀材料

受眾

開發人員、專業人士

即使是經驗豐富的 Java 程式設計師，也不一定能完全掌握 Java 所提供的各種安全服務，同時也缺乏對撰寫 Java Web 應用程式相關弱點的了解。

本課程除了介紹標準 Java 平台（Standard Java Edition）的安全元件之外，還涵蓋了 Java Enterprise Edition（JEE）和 Web 服務的相關議題。在討論特定服務之前，會先講授加密學和安全通訊的基礎知識。透過多個實務練習，學員可以體驗宣告式與程式設計的安全技術（針對 JEE），以及 Web 服務的傳輸層端到端安全性。所有元件的使用方式都將透過一系列實作練習來呈現，讓參與者親自嘗試相關的 API 和工具。

本課程也詳細說明 Java 語言、平台及 Web 相關最常見且嚴重的程式設計缺陷與弱點。除了典型由 Java 程式設計師犯下的錯誤外，所介紹的安全弱點涵蓋了語言特定的問題，以及源自執行時環境的問題。所有弱點和相關攻擊都將透過簡單易懂的練習進行示範，隨後提供建議的編碼指南及可能的緩和技術。

參加本課程的學員將能夠

• 理解安全、資訊安全及安全編碼的基本概念
• 學習 OWASP Top Ten 之外的 Web 弱點，並知道如何避免它們
• 理解 Web 服務的安全概念
• 學會使用 Java 開發環境中的各種安全功能
• 建立對加密學的實務理解
• 理解 Java EE 的安全解決方案
• 了解常見的程式錯誤及如何避免它們
• 獲得關於 Java 框架中近期弱點的資訊
• 獲取使用安全測試工具的實用知識
• 獲取關於安全編碼實踐的資源與進一步閱讀材料

受眾

開發人員

如今，許多編程語言可用於將代碼編譯到 .NET 和 ASP.NET 框架中。該環境提供了強大的安全開發手段，但開發人員應了解如何應用架構級和代碼級的編程技術，以實施所需的安全功能，並避免漏洞或限制其利用。

本課程的目標是通過眾多實踐練習教導開發人員，如何防止不受信任的代碼執行特權操作，通過強身份驗證和授權保護資源，提供遠程過程調用，處理會話，為某些功能引入不同的實現方式等。

不同漏洞的介紹從展示在使用 .NET 時可能發生的典型編程問題開始，而對 ASP.NET 漏洞的討論還涉及各種環境設置及其影響。最後，針對 ASP.NET 特有漏洞的主題不僅處理一些通用 Web 應用程序安全挑戰，還涉及特殊問題和攻擊方法，例如攻擊 ViewState 或字符串終止攻擊。

參加本課程的學員將

• 理解安全、IT 安全和安全編碼的基本概念
• 學習超出 OWASP Top Ten 的 Web 漏洞，並了解如何避免這些漏洞
• 學會使用 .NET 開發環境中的各種安全功能
• 獲得使用安全測試工具的實踐知識
• 了解典型的編碼錯誤以及如何避免它們
• 獲取關於 .NET 和 ASP.NET 中某些最新漏洞的信息
• 獲取安全編碼實踐的資源和進一步閱讀材料

目標受眾

開發人員

本課程為 PHP 開發者提供必要技能，使應用程式能夠抵禦透過網際網路進行的現代攻擊。透過基於 PHP 的範例討論 Web 漏洞，內容涵蓋 OWASP Top Ten 之外的主題，包括各種注入式攻擊、腳本注入、對 PHP 會話處理的攻擊、不安全的直接物件參照、檔案上傳問題等。PHP 相關的漏洞被歸類為標準漏洞類型：缺失或不當的輸入驗證、錯誤的錯誤與例外處理、安全功能的不當使用，以及時間與狀態相關的問題。對於後者，我們將討論諸如 open_basedir 繞過、透過魔法浮點數造成的服務中斷攻擊，以及雜湊表碰撞攻擊等攻击方式。在各種情況下，參與者將熟悉用於降低所列風險的重要技術和函式。

特別強調客戶端安全，處理 JavaScript、Ajax 和 HTML5 的安全問題。課程還介紹了 PHP 的一些與安全相關的擴展功能，例如用於密碼學的 hash、mcrypt 和 OpenSSL，以及用於輸入驗證的 Ctype、ext/filter 和 HTML Purifier。在 PHP 配置（設置 php.ini）、Apache 及一般伺服器層面提供了最佳加固實踐。最後，概述了開發人員和測試人員可用的各種安全測試工具和技術，包括安全掃描器、滲透測試和漏洞利用包、嗅探器、代理伺服器、模糊測試工具和靜態源代碼分析器。

漏洞介紹和配置實踐均輔以一系列實作練習，展示成功攻擊的後果，說明如何應用緩解技術，並介紹各種擴展和功能工具的使用。

參與本課程的學員將

• 理解安全、資訊安全和安全編碼的基本概念
• 學習 OWASP Top Ten 之外的 Web 漏洞，並知道如何避免它們
• 了解客戶端漏洞和安全編碼實踐
• 對密碼學有實用性的理解
• 學會使用 PHP 的多種安全功能
• 學習常見的編碼錯誤及其避免方法
• 了解近期 PHP 框架的漏洞
• 獲得使用安全測試工具的實用知識
• 獲取關於安全編碼實踐的資源和進一步閱讀材料

對象

開發人員

The 整合型 SDL 核心培訓課程，透過微軟安全開發生命週期 (SDL) 揭示安全軟體設計、開發與測試的要點。它提供 SDL 基礎組件的 100 級概覽，並接著介紹如何在開發流程早期應用設計技巧來偵測和修復缺失。

針對開發階段，課程概述了受控程式碼和本機程式碼的典型資安相關程式錯誤。課程會說明討論中的脆弱性之攻擊方法，以及相關的緩解技術，並透過數個實作練習向學員展示，提供現場駭客體驗的趣味學習過程。接著介紹不同的安全測試方法，並示範各種測試工具的有效性。學員可透過在已討論的脆弱程式碼上套用這些工具的實務練習，來理解這些工具的運作方式。

參加此課程的學員將

了解資安、IT 資安和安全編碼的基本概念

認識微軟安全開發生命週期的關鍵步驟

學習安全的設計與開發實務

學習安全實作原則

理解安全測試方法論

• 取得關於安全編碼實務的來源和進一步閱讀材料

受眾

開發人員、經理人

C++ 是否適用於嵌入式系統，如微控制器和實時操作系統？

在微控制器中使用面向對象的程式設計是否合適？

C++ 離硬體過於遙遠，以致於無法發揮效率嗎？

本門由講師主導的即時培訓課程將解答這些疑問，並透過討論與實踐示範如何使用 C++ 開發嵌入式系統，以產生精確、易讀且高效的程式碼。參與者會透過創建一個 C++ 嵌入式應用範例，將理論化為實務。

完成本門培訓後，參與者將能夠：

• 理解面向對象建模、嵌入式軟體程式設計和實時程式設計的基礎原理
• 產生適用於嵌入式系統的小巧、快速且安全的程式碼
• 避免使用模板、異常及其他語言特性所引發的程式碼膨脹問題
• 了解於安全關鍵型和實時系統中運用 C++ 可能面臨的挑戰
• 在目標裝置上偵錯 C++ 程式

適用對象

• 開發人員
• 設計人員

課程形式

• 講授、討論、練習與大量實作並重

這門為期兩天的課程，專為有興趣將新 C++11 標準套用於產業的 C++ 程式設計師所設計。特別適合涵蓋所有新功能並搭配可在實驗室中執行的程式碼範例的金融應用開發人員。

這門在台灣（線上或線下）舉辦的由講師帶領的即時培訓課程，主要針對那些希望使用CUDA來加速應用程式、編寫高效能GPU核處理序，並利用並列演算法函式庫進行科學運算、資料處理以及機器學習負載的C++開發者。

在本門於 台灣 舉辦的講師指導現場培訓課程中，學員將學習如何制定適當的安全策略以應對 DevOps 安全挑戰。

EC-Council 認證的 DevSecOps 工程師 (ECDE) 是一門實作型課程，旨在為專業人士提供技能，將安全嵌入 DevOps 生命週期，實現從規劃到部署的安全軟體開發。

此由講師帶路的實時培訓（線上或線下）針對希望將安全實踐整合至 CI/CD 管線的中級軟體和 DevOps 專業人員。

完成培訓後，學員將能夠：

• 理解 DevSecOps 的原則與實踐。
• 使用自動化確保 CI/CD 管線的每個階段的安全。
• 實施安全編碼實踐和漏洞掃描。
• 透過實作實驗室和複習準備 ECDE 認證。

課程格式

• 互動式講座與討論。
• 在模擬管線中實作使用 DevSecOps 工具。
• 指導性練習，專注於安全開發與部署。

課程自訂選項

• 若要根據您團隊的工作流程或工具鏈請求此課程的自訂培訓，請聯繫我們以安排。

本培訓旨在介紹 C++ 作為面向对象嵌入式系统开发中 C 的通用扩展。由于 C++ 包含 C，本课程以自然的方式从 C 过渡到 C++，并深入探讨 C++ 的实现机制。这在资源受限的嵌入式环境中应用 C++ 时尤其有价值。C++ 标准最近经历了重大修订，即 C++11，而新的版本 C++14 也已到来。本课程重点介绍这些修订带来的主题，特别是高性能内存管理、利用多核环境实现的并发，以及接近硬件的原生编程。

目標/益處

本課程的主要目標是讓你能夠正確地使用 C++。

• 在嵌入式系统语境中将 C++ 作为面向对象语言选项进行介绍
• 展示與 C 語言的相似性和差異
• 理解不同的内存管理策略，特別是引入 C++11 的移动语义
• 深入探讨并理解 C++ 中的不同范式在机器代码中产生的效果
• 使用模板为实现类型安全的高阶抽象，用于接近硬件的原生编程——包括内存映射 I/O 和中断——特别是引入 C++11 的变参模板
• 提供一些特别适用于嵌入式上下文的有用设计模式
• 通过一些练习来实践概念

受眾/參與者

本培訓針對打算在嵌入式系统语境中开始使用 C++ 的 C++-programmer。

先備知識

該課程需要基本的 C++ 編程知識，對應我們的培訓「C++ 第 1 級」和「C++ 第 2 級 - 介紹 C++11」。

實踐練習

在培訓期間，你將在一系列練習中實踐所呈現的概念。我們將使用 Eclipse 提供的開源且免費的集成開發環境。

本課程在 台灣 旨在協助達成以下目標：

1. 協助開發人員掌握撰寫安全程式碼的技術
2. 協助軟體測試人員在應用程式發佈至生產環境前測試其安全性
3. 協助軟體架構師理解與應用程式相關的風險
4. 協助團隊主管為開發人員設定安全性基準
5. 協助網站管理員配置伺服器，以避免誤設定問題

本課程透過開放網頁應用程式安全性專案 (OWASP) 的測試方法，涵蓋使用 Java 的安全編碼概念與原則。開放網頁應用程式安全性專案是一個線上社群，致力於創造免費提供的文章、方法論、文檔、工具和技術，聚焦於網頁應用程式安全性領域。