致力于提升研发企业的持续创新能力
结盟众多企业“教练”， 共同设计、开发及提供人才培养解决方案，通过新颖多样的学习方式，针对性的定制化内容，助力企业全面提升竞争优势。
结盟众多企业“教练”， 共同设计、开发及提供人才培养解决方案，通过新颖多样的学习方式，针对性的定制化内容，助力企业全面提升竞争优势。
Kevin Liu
2天
5200元/人
概述：
随着Internet已经成为一个非常重要的基础平台，黑客们蠢蠢欲动，从网络安全和应用安全两个维度实施攻击。安全事件层出不穷。数据也显示，三分之二的站点都相当脆弱，易受攻击。本次课程围绕安全测试技术，通过设计安全测试用例及使用安全测试工具，迅速全面的查找安全漏洞。该课程还将深度分析主要安全漏洞的原理及安全防御建设思路。
课程收益：
通过实际案例和实际工具的操作练习，使参训人员掌握安全测试的技术、工具、原理及实施方法，并以安全测试为核心、掌握安全设计、安全编码、安全运营，形成安全防御的整套解决思路。即学即用。
学员在学习过程中直接对自己的软件产品进行安全测试及疑难解答。
一. 安全测试过程（部分）示意图
二. 培训内容
| 知识单元 | 学习内容 |
| 网络安全与应用安全 |
1.什么是网络安全 2.网络安全的常见防御方法（IPS/IDS/防火墙） 3.软件应用安全现状及常见攻击方式 4.软件应用安全测试的方式及原理 5.安全测试的十大原则； 6.安全静态测试技术、安全动态测试技术 7.软件安全标准：安全规范、安全测试标准、安全编码标准、安全等级标准等 8.如何构建安全的防御体系 |
| 网络安全测试 |
1. 网络欺骗方式及防御测试（包括IP欺骗、源路由攻击、TCP会话劫持、ARP地址欺骗、电子邮件欺骗、DNS欺骗、中间人攻击等） 2. 网络嗅探的检测与防御 3. 端口扫描测试与技术 4. 拒绝服务攻击检测与防御 |
| 常见十大应用安全漏洞深度分析及防御测试方法 |
1.搭建攻击防御实例站点（实操测试工具） 2.十大应用安全漏洞攻击原理深度分析及对应测试方法、工具 （该部分随讲师一起练习测试工具及部分攻击方法）： ü Sql注入、XML注入的原理、防御、测试与测试工具（SQL Inject Me/Pangolin）； ü 跨站脚本XSS的原理、防御、测试与测试工具(XSS Me ü /Xelenium)； ü 身份认证和会话管理不当的原理、防御、测试与测试工具(WebScrab)； ü 不安全的对象直接引用的原理、防御、测试与测试工具(Burp)； ü 跨站请求伪造CSRF的原理、防御、测试与测试工具(CSRFTester)； ü 安全配置错误的原理、防御、测试与测试工具(watobo)； ü 存储不安全的原理、防御、测试； ü URL访问控制不当的原理、防御、测试与测试工具(nikto)； ü 不安全的通信的原理、防御、测试与测试工具(Calomel)； ü 未经认证的重定向和转发的原理、防御、测试与测试工具(Watcher)； |
| 综合性安全测试工具 |
1.深度了解APPSCAN：原理、攻击样本、使用方法、专家分析及解决方案使用、生成报告 2.Buresuite/ZAP，两个开源综合性安全测试工具的使用方法、原理及测试结果分析； 3、静态代码安全审计方法及工具详解：Lapse/fortify 4、安全测试工具发现的问题的归类及修改顺序、修改优先级 |
| 安全测试过程 |
1.测试计划 2.测试范围（漏洞范围、功能范围） 3.测试准备（人员、工具、环境、数据） 4.测试设计 5.测试执行 6.测试报告 7.测试后处理（bug/修复/评估/数据） |
| 安全测试用例 |
1、OWASP安全测试指南； 2、深度详细讲解符合企业实际应用的7大类91个安全测试用例的设计与执行方法； |
|
安全设计 安全编码 安全运营 |
1.安全设计主要关注点，从源头解决安全问题 2.安全编码方法、安全函数 3.建立安全运营机制及体系 |
