台灣現場安全程式碼培訓

EC-Council 認證的 DevSecOps 工程師 (ECDE) 是一門實作型課程，旨在為專業人士提供技能，將安全嵌入 DevOps 生命週期，實現從規劃到部署的安全軟體開發。

此由講師帶路的實時培訓（線上或線下）針對希望將安全實踐整合至 CI/CD 管線的中級軟體和 DevOps 專業人員。

完成培訓後，學員將能夠：

• 理解 DevSecOps 的原則與實踐。
• 使用自動化確保 CI/CD 管線的每個階段的安全。
• 實施安全編碼實踐和漏洞掃描。
• 透過實作實驗室和複習準備 ECDE 認證。

課程格式

• 互動式講座與討論。
• 在模擬管線中實作使用 DevSecOps 工具。
• 指導性練習，專注於安全開發與部署。

課程自訂選項

• 若要根據您團隊的工作流程或工具鏈請求此課程的自訂培訓，請聯繫我們以安排。

即使開發人員先前已使用過各種加密構建塊（例如加密和數位簽章），實施安全的網際網路應用程式仍可能非常困難。為了讓參與者理解這些加密原語的角色與用途，我們首先提供關於安全通訊主要需求的紮實基礎——包括安全確認、完整性、保密性、遠端識別與匿名性——同時介紹可能損害這些需求的典型問題及真實世界的解決方案。

鑑於密碼學是網路安全的一個關鍵面向，課程也討論了對稱式密碼學、雜湊、非對稱式密碼學和金鑰協商中最重要的加密演算法。除了不深入探討數學背景外，我們從開發者的角度來討論這些元素，展示典型的用例範例以及與使用加密相關的實際考量，例如公開金鑰基礎設施（PKI）。課程也介紹了許多安全通訊領域的安全協定，並深入討論最廣泛使用的協定家族，如 IPSEC 和 SSL/TLS。

針對特定加密演算法和密碼學協定的典型加密弱點進行了討論，例如 BEAST、CRIME、TIME、BREACH、FREAK、Logjam、Padding oracle、Lucky Thirteen、POODLE 以及類似的弱點，還有 RSA 時間攻擊。在每個案例中，描述了每個問題的實際考量與潛在後果，同樣地，不深入探討數學細節。

最後，由於 XML 技術是網路應用程式資料交換的核心，課程描述了 XML 的安全方面。這包括在 Web 服務和 SOAP 訊息中使用 XML，以及保護措施如 XML Signature 和 XML Encryption——同時涵蓋這些保護措施的弱點以及 XML 特定的安全問題，例如 XML 注入、XML 外部實體（XXE）攻擊、XML 炸彈和 XPath 注入。

參加此課程的參與者將

• 理解安全、資訊安全和安全編碼的基本概念
• 理解安全通訊的需求
• 了解不同 OSI 層級的網路攻擊與防禦
• 對密碼學有實務性的理解
• 理解關鍵的安全協定
• 理解近期針對加密系統的攻击
• 獲取關於一些近期相關弱點的資訊
• 理解 Web 服務的安全概念
• 獲取有關安全編碼實踐的來源和進一步閱讀材料

受眾

開發人員、專業人士

編寫安全的 C 和 C++ 程式碼需要嚴謹地防禦惡意利用、記憶體損毀，以及輸入驗證繞過。本課程探討包括緩衝區溢位、釋放後使用、整數溢位及型別混淆等在內的弱點模式。參與者將應用安全編碼指南、靜態分析工具和防禦性編碼技術，以消除弱點、強制執行輸入清理，並交付具有韌性、能抵禦網路攻擊的強化軟體。

即使是經驗豐富的 Java 程式設計師，也不一定能完全掌握 Java 所提供的各種安全服務，同時也缺乏對撰寫 Java Web 應用程式相關弱點的了解。

本課程除了介紹標準 Java 平台（Standard Java Edition）的安全元件之外，還涵蓋了 Java Enterprise Edition（JEE）和 Web 服務的相關議題。在討論特定服務之前，會先講授加密學和安全通訊的基礎知識。透過多個實務練習，學員可以體驗宣告式與程式設計的安全技術（針對 JEE），以及 Web 服務的傳輸層端到端安全性。所有元件的使用方式都將透過一系列實作練習來呈現，讓參與者親自嘗試相關的 API 和工具。

本課程也詳細說明 Java 語言、平台及 Web 相關最常見且嚴重的程式設計缺陷與弱點。除了典型由 Java 程式設計師犯下的錯誤外，所介紹的安全弱點涵蓋了語言特定的問題，以及源自執行時環境的問題。所有弱點和相關攻擊都將透過簡單易懂的練習進行示範，隨後提供建議的編碼指南及可能的緩和技術。

參加本課程的學員將能夠

• 理解安全、資訊安全及安全編碼的基本概念
• 學習 OWASP Top Ten 之外的 Web 弱點，並知道如何避免它們
• 理解 Web 服務的安全概念
• 學會使用 Java 開發環境中的各種安全功能
• 建立對加密學的實務理解
• 理解 Java EE 的安全解決方案
• 了解常見的程式錯誤及如何避免它們
• 獲得關於 Java 框架中近期弱點的資訊
• 獲取使用安全測試工具的實用知識
• 獲取關於安全編碼實踐的資源與進一步閱讀材料

受眾

開發人員

如今，許多編程語言可用於將代碼編譯到 .NET 和 ASP.NET 框架中。該環境提供了強大的安全開發手段，但開發人員應了解如何應用架構級和代碼級的編程技術，以實施所需的安全功能，並避免漏洞或限制其利用。

本課程的目標是通過眾多實踐練習教導開發人員，如何防止不受信任的代碼執行特權操作，通過強身份驗證和授權保護資源，提供遠程過程調用，處理會話，為某些功能引入不同的實現方式等。

不同漏洞的介紹從展示在使用 .NET 時可能發生的典型編程問題開始，而對 ASP.NET 漏洞的討論還涉及各種環境設置及其影響。最後，針對 ASP.NET 特有漏洞的主題不僅處理一些通用 Web 應用程序安全挑戰，還涉及特殊問題和攻擊方法，例如攻擊 ViewState 或字符串終止攻擊。

參加本課程的學員將

• 理解安全、IT 安全和安全編碼的基本概念
• 學習超出 OWASP Top Ten 的 Web 漏洞，並了解如何避免這些漏洞
• 學會使用 .NET 開發環境中的各種安全功能
• 獲得使用安全測試工具的實踐知識
• 了解典型的編碼錯誤以及如何避免它們
• 獲取關於 .NET 和 ASP.NET 中某些最新漏洞的信息
• 獲取安全編碼實踐的資源和進一步閱讀材料

目標受眾

開發人員

本課程為 PHP 開發者提供必要技能，使應用程式能夠抵禦透過網際網路進行的現代攻擊。透過基於 PHP 的範例討論 Web 漏洞，內容涵蓋 OWASP Top Ten 之外的主題，包括各種注入式攻擊、腳本注入、對 PHP 會話處理的攻擊、不安全的直接物件參照、檔案上傳問題等。PHP 相關的漏洞被歸類為標準漏洞類型：缺失或不當的輸入驗證、錯誤的錯誤與例外處理、安全功能的不當使用，以及時間與狀態相關的問題。對於後者，我們將討論諸如 open_basedir 繞過、透過魔法浮點數造成的服務中斷攻擊，以及雜湊表碰撞攻擊等攻击方式。在各種情況下，參與者將熟悉用於降低所列風險的重要技術和函式。

特別強調客戶端安全，處理 JavaScript、Ajax 和 HTML5 的安全問題。課程還介紹了 PHP 的一些與安全相關的擴展功能，例如用於密碼學的 hash、mcrypt 和 OpenSSL，以及用於輸入驗證的 Ctype、ext/filter 和 HTML Purifier。在 PHP 配置（設置 php.ini）、Apache 及一般伺服器層面提供了最佳加固實踐。最後，概述了開發人員和測試人員可用的各種安全測試工具和技術，包括安全掃描器、滲透測試和漏洞利用包、嗅探器、代理伺服器、模糊測試工具和靜態源代碼分析器。

漏洞介紹和配置實踐均輔以一系列實作練習，展示成功攻擊的後果，說明如何應用緩解技術，並介紹各種擴展和功能工具的使用。

參與本課程的學員將

• 理解安全、資訊安全和安全編碼的基本概念
• 學習 OWASP Top Ten 之外的 Web 漏洞，並知道如何避免它們
• 了解客戶端漏洞和安全編碼實踐
• 對密碼學有實用性的理解
• 學會使用 PHP 的多種安全功能
• 學習常見的編碼錯誤及其避免方法
• 了解近期 PHP 框架的漏洞
• 獲得使用安全測試工具的實用知識
• 獲取關於安全編碼實踐的資源和進一步閱讀材料

對象

開發人員

The 整合型 SDL 核心培訓課程，透過微軟安全開發生命週期 (SDL) 揭示安全軟體設計、開發與測試的要點。它提供 SDL 基礎組件的 100 級概覽，並接著介紹如何在開發流程早期應用設計技巧來偵測和修復缺失。

針對開發階段，課程概述了受控程式碼和本機程式碼的典型資安相關程式錯誤。課程會說明討論中的脆弱性之攻擊方法，以及相關的緩解技術，並透過數個實作練習向學員展示，提供現場駭客體驗的趣味學習過程。接著介紹不同的安全測試方法，並示範各種測試工具的有效性。學員可透過在已討論的脆弱程式碼上套用這些工具的實務練習，來理解這些工具的運作方式。

參加此課程的學員將

了解資安、IT 資安和安全編碼的基本概念

認識微軟安全開發生命週期的關鍵步驟

學習安全的設計與開發實務

學習安全實作原則

理解安全測試方法論

• 取得關於安全編碼實務的來源和進一步閱讀材料

受眾

開發人員、經理人

在本門於 台灣 舉辦的講師指導現場培訓課程中，學員將學習如何制定適當的安全策略以應對 DevOps 安全挑戰。

本課程在 台灣 旨在協助達成以下目標：

1. 協助開發人員掌握撰寫安全程式碼的技術
2. 協助軟體測試人員在應用程式發佈至生產環境前測試其安全性
3. 協助軟體架構師理解與應用程式相關的風險
4. 協助團隊主管為開發人員設定安全性基準
5. 協助網站管理員配置伺服器，以避免誤設定問題

本課程透過開放網頁應用程式安全性專案 (OWASP) 的測試方法，涵蓋使用 Java 的安全編碼概念與原則。開放網頁應用程式安全性專案是一個線上社群，致力於創造免費提供的文章、方法論、文檔、工具和技術，聚焦於網頁應用程式安全性領域。

This instructor-led course in 台灣 covers secure coding concepts and ASP.NET security principles. Learn to apply the OWASP methodology, implement robust authentication and authorization, and prevent injection attacks, XSS, and CSRF to build resilient, secure web applications.