感謝您提交詢問！我們的一位團隊成員將在短時間內與您聯繫。
感謝您提交預訂！我們的一位團隊成員將在短時間內與您聯繫。
課程時長 21 時間：
課程簡介
1. IT 安全性及安全編碼
- 基本安全性原則：在 Java 應用情境下的機密性、完整性與可用性（CIA）。
- 安全軟體開發生命週期（SSDLC）：從需求分析到部署階段整合安全性。
- 安全編碼範式：縱深防禦、最小特權原則及預設安全設定。
- 標準弱點分類：理解 CWE（常見弱點枚举）與 OWASP。
2. Web 應用程式安全性
- 深入探討 OWASP Top Ten：詳細分析注入攻擊、身份驗證失效及敏感資料洩露。
- 跨站腳本攻擊（XSS）：Java/JSP 中的反射型、儲存型及 DOM-based XSS 情境。
- 跨站請求偽造（CSRF）：攻擊機制及 Anti-CSRF token 的實作。
- 工作階段管理：Cookie 安全性、工作階段固定及逾時管理。
- API 安全性：保護 REST 和 SOAP 端點免受濫用。
3. Web 服務安全性
- Web 服務與傳統 Web 應用：攻擊面的差異。
- 傳輸層安全性：Java 用戶端與伺服器的 SSL/TLS 設定。
- 訊息安全性：負載層級的完整性與機密性。
- 驗證標準：OAuth 2.0、OpenID Connect 及 JWT（JSON Web Tokens）的實作。
4. XML 安全性
- XML 解析弱點：防止 XML 外部實體（XXE）攻擊。
- XML Schema 驗證：嚴格執行 Schema 的最佳實務。
- XML 數位簽章：實作簽章以確保不可否認性。
- XML 加密：加密 XML 內容的標準方法。
5. Java 安全性基礎
- Java 安全性架構：
java.security套件及供應商（Provider）架構。 - 安全性供應商：安裝與設定如 Bouncy Castle 等供應商。
- 存取控制：策略檔案（Policy files）、權限（Permissions）及安全性管理器（Security Manager，傳統 vs. 現代）。
- 密鑰庫管理：建立及管理用於憑證的密鑰庫（keystores）與信任庫（truststores）。
6. 實務密碼學
- 密碼演算法：對稱加密（AES）、非對稱加密（RSA, ECC）及雜湊函數（SHA-256/512）概觀。
- 隨機數產生：
java.util.Random的危險性 vs.java.security.SecureRandom。 - 金鑰管理：金鑰產生、儲存及輪換策略。
- Java 密碼架構（JCA）：使用
Cipher、MessageDigest及Mac類別。 - Java 密碼擴充（JCE）：了解策略檔案及無限制強度管轄權（unlimited strength jurisdiction）。
7. Java 安全性服務
- Java 中的 SSL/TLS：使用
SSLSocketFactory及HttpsURLConnection。 - 信任管理器：為私有的 PKI 環境自訂信任驗證。
- 驗證器：使用
Authenticator.getDefault()進行程式碼式驗證。 - 憑證解析：以程式方式讀取並分析 X.509 憑證。
8. Java EE 安全性
- 聲明式安全性：使用
web.xml及註解實作基於角色的存取控制（RBAC）。 - 程式碼式安全性：使用
HttpServletRequest.isUserInRole()及getRemoteUser()。 - JAAS（Java 驗證與授權服務）：設定
login.conf並實作LoginModule。 - Servlet 安全性：容器管理的安全性約束及驗證方法（FORM, BASIC, DIGEST）。
9. 常見編碼錯誤與弱點
- 不安全反序列化：
ObjectInputStream的風險及繞過安全性檢查的問題。 - 命令注入：緩解 OS 層級的執行弱點。
- 路徑穿越：消毒檔案系統輸入以防止目錄穿越。
- 反射濫用：
java.lang.reflect的風險及繞過存取控制。 - 硬編碼憑證：識別並移除原始碼中的機密資訊。
- 密碼學實作錯誤：使用 ECB 模式、弱金鑰或靜態 IV。
10. 知識資源
- 靜態分析工具：使用 SonarQube、Checkmarx 及 Fortify 進行自動掃描。
- 動態分析工具：Burp Suite 及 OWASP ZAP 概觀。
- CVE 資料庫：如何追蹤並應對 Java 框架的新弱點。
- 推薦閱讀：書籍、文件及安全編碼檢查清單列表。
最低要求
無。
客戶評論 (4)
培訓師的知識非常豐富，他清楚地知道自己在說什麼，並且能夠回答我們的問題
Adam - Fireup.PRO
課程 - Advanced Java Security
機器翻譯
實踐練習
Olek - Fireup.PRO
課程 - Advanced Java Security
機器翻譯
編碼練習
Mirek - Fireup.PRO
課程 - Advanced Java Security
機器翻譯
它提供了很多見解，深入探討了安全相關的內容
Nolbabalo Tshotsho - Vodacom SA
課程 - Advanced Java Security
機器翻譯
