代碼審計(jì)工程師（高級）培訓(xùn)課程
培訓(xùn)對象： 從事軟件設(shè)計(jì)和開發(fā)、軟件內(nèi)部測試、軟件第三方獨(dú)立測試的技術(shù)人員和管理人員，以及有實(shí)驗(yàn)室認(rèn)可需求的實(shí)驗(yàn)室、軟件研發(fā)單位的內(nèi)部測試機(jī)構(gòu)人員。
培訓(xùn)目標(biāo)： 培養(yǎng)具備高級威脅建模與攻擊面分析能力的代碼審計(jì)專家，能夠從源頭上發(fā)現(xiàn)和解決系統(tǒng)運(yùn)行可能存在的各種安全問題。掌握源代碼深度閱讀、數(shù)據(jù)流分析、控制流分析及設(shè)計(jì)層面漏洞挖掘的核心技能，具備帶領(lǐng)團(tuán)隊(duì)系統(tǒng)性發(fā)現(xiàn)和解決安全問題的能力。
培訓(xùn)內(nèi)容介紹：
-
高級威脅建模與攻擊面分析：學(xué)習(xí)基于數(shù)據(jù)流的威脅建模（STRIDE、DREAD），識別微服務(wù)、API、移動端、云原生環(huán)境下的新型攻擊面，掌握供應(yīng)鏈攻擊分析（第三方庫、依賴組件、Docker鏡像）的審計(jì)方法。
-
源代碼深度閱讀與理解技巧：掌握快速理解大型項(xiàng)目架構(gòu)的技巧（從入口點(diǎn)、配置文件、依賴注入入手），學(xué)習(xí)關(guān)鍵代碼路徑追蹤、數(shù)據(jù)流分析（正向/反向）及控制流分析與程序邏輯還原。
-
設(shè)計(jì)層面漏洞挖掘：學(xué)習(xí)權(quán)限繞過與訪問控制設(shè)計(jì)缺陷分析、業(yè)務(wù)邏輯漏洞的模式識別（平行越權(quán)、條件競爭、負(fù)庫存）、加密機(jī)制的錯(cuò)誤實(shí)現(xiàn)與弱隨機(jī)數(shù)檢測。
-
安全開發(fā)生命周期（SDL）與CI/CD集成：了解安全開發(fā)生命周期定義與目標(biāo)，掌握持續(xù)集成/持續(xù)發(fā)布與代碼審計(jì)的結(jié)合方法，搭建Jenkins流水線實(shí)現(xiàn)提交代碼時(shí)自動進(jìn)行SCA掃描和SAST掃描。
-
第三方測試中的代碼審計(jì)流程：學(xué)習(xí)第三方代碼審計(jì)實(shí)施過程、團(tuán)隊(duì)流程管理、能力建設(shè)及風(fēng)險(xiǎn)控制方法。
-
代碼審計(jì)方法與工具：掌握人工審查結(jié)合工具掃描的審計(jì)方式，了解常用SAST工具、開源漏洞測試工具及基于形式化代碼語義分析、基于大模型的代碼審計(jì)前沿方向。
-
C/C++常見漏洞專項(xiàng)審計(jì)：結(jié)合工具講解字符串漏洞、緩沖區(qū)溢出、數(shù)據(jù)類型轉(zhuǎn)換漏洞、整數(shù)操作漏洞、格式化輸出漏洞的審計(jì)方法。
-
Java-Web漏洞專項(xiàng)審計(jì)：結(jié)合工具講解反射性XSS、存儲型XSS、驗(yàn)證碼繞過、API未授權(quán)訪問、越權(quán)漏洞、目錄遍歷漏洞、文件上傳漏洞、命令執(zhí)行漏洞的審計(jì)方法。
-
反序列化漏洞深度剖析：學(xué)習(xí)Java序列化機(jī)制與常見組件風(fēng)險(xiǎn)，審計(jì)常用庫（apache-common、Fastjson、log4j）的潛在風(fēng)險(xiǎn)，實(shí)戰(zhàn)分析CVE-2021-44228 log4j反序列化漏洞。
-
系統(tǒng)架構(gòu)與第三方組件審計(jì)：學(xué)習(xí)Spring Security/Shibboleth OAuth2配置審計(jì)、RESTful API的批量分配與越權(quán)審計(jì)，實(shí)戰(zhàn)分析shiro CVE-2016-4437、Spring Data Commons CVE-2018-1273。
-
代碼逆向分析與安全保護(hù)：學(xué)習(xí)編譯、反編譯、反匯編概念，掌握動態(tài)調(diào)試技術(shù)、靜態(tài)反編譯與代碼還原方法，了解代碼加固技術(shù)（字符串加密、控制流混淆）及軟件許可證保護(hù)。
-
代碼審計(jì)標(biāo)準(zhǔn)與規(guī)范：學(xué)習(xí)OWASP代碼審計(jì)規(guī)范、開發(fā)規(guī)范及GB/T 34943、GB/T 39412等國家標(biāo)準(zhǔn)，建立自定義代碼審計(jì)規(guī)范體系。
如果您想學(xué)習(xí)本課程，請
預(yù)約報(bào)名
如果沒找到合適的課程或有特殊培訓(xùn)需求，請
訂制培訓(xùn)
除培訓(xùn)外，同時(shí)提供相關(guān)技術(shù)咨詢與技術(shù)支持服務(wù)，有需求請發(fā)需求表到郵箱soft@info-soft.cn,或致電4007991916
技術(shù)服務(wù)需求表點(diǎn)擊在線申請
服務(wù)特點(diǎn)：
海量專家資源，精準(zhǔn)匹配相關(guān)行業(yè)，相關(guān)項(xiàng)目專家，針對實(shí)際需求，顧問式咨詢，互動式授課，案例教學(xué)，小班授課，實(shí)際項(xiàng)目演示，快捷高效，省時(shí)省力省錢。
專家力量：
中國科學(xué)院軟件研究所，計(jì)算研究所高級研究人員
oracle,微軟，vmware，MSC,Ansys，candence,Altium,達(dá)索等大型公司高級工程師，項(xiàng)目經(jīng)理，技術(shù)支持專家
中科信軟培訓(xùn)中心，資深專家或講師
大多名牌大學(xué)，碩士以上學(xué)歷，相關(guān)技術(shù)專業(yè)，理論素養(yǎng)豐富
多年實(shí)際項(xiàng)目經(jīng)歷，大型項(xiàng)目實(shí)戰(zhàn)案例，熱情，樂于技術(shù)分享
針對客戶實(shí)際需求，案例教學(xué)，互動式溝通，學(xué)有所獲
