How to Write Secure Code培訓

即使開發者之前已使用過各種加密建構模組（例如加密和數位簽章），實作安全的網路應用程式仍具挑戰性。為了讓學員理解這些加密基元的角色與用途，課程首先建立鞏固基礎，涵蓋安全通訊的主要需求——安全確認、完整性、機密性、遠端身分識別及匿名性，同時介紹可能破壞這些需求的常見問題以及實際解決方案。

由於密碼學是網路安全的關鍵層面，因此也討論對稱式密碼學、雜湊、非對稱式密碼學和金鑰協定中最主要的加密演算法。課程並未深入探討數學背景，而是從開發者的角度進行分析，展示典型的用例範例，以及使用加密技術的實際考量因素，例如公開金鑰基礎結構（PKI）。此外，也介紹安全通訊多個領域的安全協定，並深入討論最廣泛使用的協定家族，如 IPSEC 和 SSL/TLS。

課程探討與特定加密演算法及加密協定相關的典型加密漏洞，包括 BEAST、CRIME、TIME、BREACH、FREAK、Logjam、Padding oracle、Lucky Thirteen、POODLE 等，以及 RSA 時間攻擊。針對每個問題，說明其實際考量因素及潛在後果，同樣避免深入數學細節。

最後，由於 XML 技術是網路應用程式資料交換的核心，課程將描述 XML 的安全性面向。這包括在 Web Services 和 SOAP 訊息中使用 XML，以及相關防護措施如 XML Signature 和 XML Encryption；同時探討這些防護措施的弱點及 XML 特有的安全問題，例如 XML 注入、XML 外部實體（XXE）攻擊、XML Bomb 和 XPath 注入。

參加本課程的學員將

• 理解安全、資訊安全及安全編碼的基本概念
• 理解安全通訊的需求
• 學習不同 OSI 層級的网络攻击與防護
• 對密碼學有實務性的了解
• 理解關鍵的安全協定
• 了解針對加密系統的近期攻擊手法
• 獲取一些近期相關漏洞的資訊
• 理解 Web Services 的安全概念
• 獲取安全編碼實踐的來源及進一步閱讀材料

受眾

開發者,專業人員

編寫安全的C和C++程式碼需要嚴格的防禦措施，以抵禦惡意利用、記憶體腐損及輸入驗證繞過。本課程探討包括緩衝區溢位、釋放後使用、整數溢位以及類型混淆等漏洞模式。學員將運用安全編碼指南、靜態分析工具和防禦性程式設計技術，消除弱點、強化輸入清理，並交付堅固的軟體，使其能夠抵禦網路攻擊。

即使是經驗豐富的 Java 程式設計師，也不一定能完全掌握 Java 所提供的各種安全服務，同時也缺乏對撰寫 Java Web 應用程式相關弱點的了解。

本課程除了介紹標準 Java 平台（Standard Java Edition）的安全元件之外，還涵蓋了 Java Enterprise Edition（JEE）和 Web 服務的相關議題。在討論特定服務之前，會先講授加密學和安全通訊的基礎知識。透過多個實務練習，學員可以體驗宣告式與程式設計的安全技術（針對 JEE），以及 Web 服務的傳輸層端到端安全性。所有元件的使用方式都將透過一系列實作練習來呈現，讓參與者親自嘗試相關的 API 和工具。

本課程也詳細說明 Java 語言、平台及 Web 相關最常見且嚴重的程式設計缺陷與弱點。除了典型由 Java 程式設計師犯下的錯誤外，所介紹的安全弱點涵蓋了語言特定的問題，以及源自執行時環境的問題。所有弱點和相關攻擊都將透過簡單易懂的練習進行示範，隨後提供建議的編碼指南及可能的緩和技術。

參加本課程的學員將能夠

• 理解安全、資訊安全及安全編碼的基本概念
• 學習 OWASP Top Ten 之外的 Web 弱點，並知道如何避免它們
• 理解 Web 服務的安全概念
• 學會使用 Java 開發環境中的各種安全功能
• 建立對加密學的實務理解
• 理解 Java EE 的安全解決方案
• 了解常見的程式錯誤及如何避免它們
• 獲得關於 Java 框架中近期弱點的資訊
• 獲取使用安全測試工具的實用知識
• 獲取關於安全編碼實踐的資源與進一步閱讀材料

受眾

開發人員

如今，許多編程語言可用於將代碼編譯到 .NET 和 ASP.NET 框架中。該環境提供了強大的安全開發手段，但開發人員應了解如何應用架構級和代碼級的編程技術，以實施所需的安全功能，並避免漏洞或限制其利用。

本課程的目標是通過眾多實踐練習教導開發人員，如何防止不受信任的代碼執行特權操作，通過強身份驗證和授權保護資源，提供遠程過程調用，處理會話，為某些功能引入不同的實現方式等。

不同漏洞的介紹從展示在使用 .NET 時可能發生的典型編程問題開始，而對 ASP.NET 漏洞的討論還涉及各種環境設置及其影響。最後，針對 ASP.NET 特有漏洞的主題不僅處理一些通用 Web 應用程序安全挑戰，還涉及特殊問題和攻擊方法，例如攻擊 ViewState 或字符串終止攻擊。

參加本課程的學員將

• 理解安全、IT 安全和安全編碼的基本概念
• 學習超出 OWASP Top Ten 的 Web 漏洞，並了解如何避免這些漏洞
• 學會使用 .NET 開發環境中的各種安全功能
• 獲得使用安全測試工具的實踐知識
• 了解典型的編碼錯誤以及如何避免它們
• 獲取關於 .NET 和 ASP.NET 中某些最新漏洞的信息
• 獲取安全編碼實踐的資源和進一步閱讀材料

目標受眾

開發人員

本課程提供 PHP 開發人員必備的技能，使應用程式能夠抵禦來自網際網路的現代攻擊。透過基於 PHP 的範例討論 Web 漏洞，範圍超越 OWASP Top Ten，涵蓋各種注入式攻擊、腳本注入、針對 PHP 工作階段處理的攻擊、不安全的直接物件參考、檔案上傳問題等。PHP 相關漏洞按標準漏洞類型分組介紹，包括缺失或不當的輸入驗證、錯誤與例外處理不當、安全功能使用不當以及時間與狀態相關問題。對於最後一項，我們將討論如 open_basedir 繞過、透過魔法浮點數造成的拒絕服務攻擊或雜湊表碰撞攻擊等攻擊方式。在所有情況下，參與者將熟悉用於降低所列風險最重要的技術和函式。

特別關注客戶端安全性，處理 JavaScript、Ajax 和 HTML5 的安全問題。介紹了若干 PHP 安全擴展，如用於加密的 hash、mcrypt 和 OpenSSL，或用於輸入驗證的 Ctype、ext/filter 和 HTML Purifier。PHP 配置（設置 php.ini）、Apache 和伺服器整體的最佳硬化實踐也包含在內。最後，概述各種開發人員和測試人員可用的安全測試工具與技術，包括安全掃描器、滲透測試和漏洞利用套件、嗅探器、代理伺服器、模糊測試工具和靜態原始碼分析器。

無論是在介紹漏洞還是配置實踐方面，都附帶多個實作練習，展示成功攻擊的後果，演示如何應用緩解技術，並介紹各種擴展與工具的使用。

參加本課程的學員將

• 理解安全、資訊安全和安全編碼的基本概念
• 了解超出 OWASP Top Ten 的 Web 漏洞，並知道如何避免它們
• 學習客戶端漏洞和安全編碼實踐
• 具備加密學的實務理解
• 學會使用 PHP 的多種安全功能
• 了解常見的編碼錯誤及如何避免
• 獲知 PHP 框架的最新漏洞資訊
• 獲得使用安全測試工具的實務知識
• 獲取有關安全編碼實踐的來源與進一步閱讀材料

受眾

開發人員

The 整合型 SDL 核心培訓課程，透過微軟安全開發生命週期 (SDL) 揭示安全軟體設計、開發與測試的要點。它提供 SDL 基礎組件的 100 級概覽，並接著介紹如何在開發流程早期應用設計技巧來偵測和修復缺失。

針對開發階段，課程概述了受控程式碼和本機程式碼的典型資安相關程式錯誤。課程會說明討論中的脆弱性之攻擊方法，以及相關的緩解技術，並透過數個實作練習向學員展示，提供現場駭客體驗的趣味學習過程。接著介紹不同的安全測試方法，並示範各種測試工具的有效性。學員可透過在已討論的脆弱程式碼上套用這些工具的實務練習，來理解這些工具的運作方式。

參加此課程的學員將

了解資安、IT 資安和安全編碼的基本概念

認識微軟安全開發生命週期的關鍵步驟

學習安全的設計與開發實務

學習安全實作原則

理解安全測試方法論

• 取得關於安全編碼實務的來源和進一步閱讀材料

受眾

開發人員、經理人

在本門於 台灣 舉辦的講師指導現場培訓課程中，學員將學習如何制定適當的安全策略以應對 DevOps 安全挑戰。

這是一堂世界級、前沿且注重實務操作的工作坊，讓參與者深入體驗現代 CI/CD 管線安全的關鍵現實。此培訓專為 security 專家、DevOps 工程師以及渴望掌握進階管線 breach 防禦技能的開發人員而設計，結合實時攻擊模擬與業界領先的工具及實務防禦技術。

EC-Council 認證的 DevSecOps 工程師 (ECDE) 是一門實作型課程，旨在為專業人士提供技能，將安全嵌入 DevOps 生命週期，實現從規劃到部署的安全軟體開發。

此由講師帶路的實時培訓（線上或線下）針對希望將安全實踐整合至 CI/CD 管線的中級軟體和 DevOps 專業人員。

完成培訓後，學員將能夠：

• 理解 DevSecOps 的原則與實踐。
• 使用自動化確保 CI/CD 管線的每個階段的安全。
• 實施安全編碼實踐和漏洞掃描。
• 透過實作實驗室和複習準備 ECDE 認證。

課程格式

• 互動式講座與討論。
• 在模擬管線中實作使用 DevSecOps 工具。
• 指導性練習，專注於安全開發與部署。

課程自訂選項

• 若要根據您團隊的工作流程或工具鏈請求此課程的自訂培訓，請聯繫我們以安排。

依據最新的 OWASP GenAI 安全計畫指南，學員將透過動手練習和真實情境案例，學習識別、評估並減輕特定於 AI 的威脅。

本課程為講師指導的現場培訓（線上或線下），針對希望探索並實施OWASP Top 10參考標準以保護其網路應用程式的網頁開發人員與領導者。

完成本課程後，學員將能夠使用OWASP Top 10文件來規劃策略、實施、保護及監控其網路應用程式與服務。

本培訓為講師引導的現場培訓（台灣 線上或線下），旨在幫助開發人員、工程師和架構師將 WSTG 測試框架、原則和技術應用於保護其 Web 應用程式和服務。

完成本培訓後，學員將能夠：

• 使用 WSTG 在 Web 開發生命週期中實施測試流程和技術。
• 探索不同的測試技術，根據業務需求自訂 WSTG 框架。
• 執行多種安全性測試方法，保護 Web 應用程式免受風險和攻擊。
• 建立評估報告，記錄安全性測試的結果與發現。

本課程透過開放網頁應用程式安全性專案 (OWASP) 的測試方法，涵蓋使用 Java 的安全編碼概念與原則。開放網頁應用程式安全性專案是一個線上社群，致力於創造免費提供的文章、方法論、文檔、工具和技術，聚焦於網頁應用程式安全性領域。

本課程涵蓋使用 ASP.NET 進行的安全編碼概念與原則，並採用開放式 Web 應用程式安全專案 (OWASP) 的測試方法。OWASP 是一個線上社群，致力於提供免費的文章、方法論、文件、工具和技術，專攻 Web 應用安全領域。

本課程探討 .NET Framework 的安全功能，以及如何保護 Web 應用程式。