| 主講老師： | 陳國(guó)星 |  |
| 課時(shí)安排： | 1天/6小時(shí) | |
| 學(xué)習(xí)費(fèi)用： | 面議 | |
| 課程預(yù)約： | 隋老師  (微信同號(hào)) |
|
| 課程簡(jiǎn)介： | 互聯(lián)網(wǎng)，作為現(xiàn)代科技的杰出代表，已深刻改變著人們的生活方式。它如同一張巨大的信息之網(wǎng)，將全球各地的人們緊密相連。通過互聯(lián)網(wǎng)，我們可以隨時(shí)隨地獲取各種信息，無論是新聞、知識(shí)還是娛樂內(nèi)容，都盡在指尖。同時(shí)，互聯(lián)網(wǎng)也為人們提供了便捷的溝通方式，無論是文字、語音還是視頻，都能輕松實(shí)現(xiàn)遠(yuǎn)距離交流。此外，互聯(lián)網(wǎng)還催生了眾多新興行業(yè)，如電子商務(wù)、在線教育等，為人們創(chuàng)造了更多就業(yè)機(jī)會(huì)和便利?？梢哉f，互聯(lián)網(wǎng)已經(jīng)成為現(xiàn)代社會(huì)不可或缺的一部分，它將繼續(xù)引領(lǐng)著人類邁向更加美好的未來。 | |
| 內(nèi)訓(xùn)課程分類： | 綜合管理 | 人力資源 | 市場(chǎng)營(yíng)銷 | 財(cái)務(wù)稅務(wù) | 基層管理 | 中層管理 | 領(lǐng)導(dǎo)力 | 管理溝通 | 薪酬績(jī)效 | 企業(yè)文化 | 團(tuán)隊(duì)管理 | 行政辦公 | 公司治理 | 股權(quán)激勵(lì) | 生產(chǎn)管理 | 采購(gòu)物流 | 項(xiàng)目管理 | 安全管理 | 質(zhì)量管理 | 員工管理 | 班組管理 | 職業(yè)技能 | 互聯(lián)網(wǎng)+ | 新媒體 | TTT培訓(xùn) | 禮儀服務(wù) | 商務(wù)談判 | 演講培訓(xùn) | 宏觀經(jīng)濟(jì) | 趨勢(shì)發(fā)展 | 金融資本 | 商業(yè)模式 | 戰(zhàn)略運(yùn)營(yíng) | 法律風(fēng)險(xiǎn) | 沙盤模擬 | 國(guó)企改革 | 鄉(xiāng)村振興 | 黨建培訓(xùn) | 保險(xiǎn)培訓(xùn) | 銀行培訓(xùn) | 電信領(lǐng)域 | 房地產(chǎn) | 國(guó)學(xué)智慧 | 心理學(xué) | 情緒管理 | 時(shí)間管理 | 目標(biāo)管理 | 客戶管理 | 店長(zhǎng)培訓(xùn) | 新能源 | 數(shù)字化轉(zhuǎn)型 | 工業(yè)4.0 | 電力行業(yè) | | |
| 更新時(shí)間： | 2024-03-08 12:05 |
【課程背景】
隨著互聯(lián)網(wǎng)時(shí)代的到來，企業(yè)的應(yīng)用也逐步轉(zhuǎn)向互聯(lián)網(wǎng)，以互聯(lián)網(wǎng)形式開放給用戶進(jìn)行使用？而互聯(lián)網(wǎng)帶來最大的問題就是安全問題，企業(yè)如何解決互聯(lián)網(wǎng)應(yīng)用的安全問題？
本課程在主動(dòng)的安全開發(fā)框架指導(dǎo)下，深入剖析軟件開發(fā)生命周期各階段的安全細(xì)節(jié)問題，理解協(xié)同構(gòu)建安全系統(tǒng)的方法。并通過大量的動(dòng)手實(shí)操和相關(guān)案例貫穿所有的理論知識(shí)，使學(xué)員熟練掌握代碼安全漏洞分析、編程規(guī)范、代碼質(zhì)量問題分析、安全設(shè)計(jì)與防御常見問題及解決方法。
【課程收益】
? 學(xué)會(huì)分析軟件安全脆弱性產(chǎn)生的根源
? 展示多種攻擊軟件的手段、指出軟件開發(fā)過程中不同人員在設(shè)計(jì)和開發(fā)中常犯的錯(cuò)誤
? 探討當(dāng)前軟件安全界關(guān)注的熱點(diǎn)問題
? 總結(jié)和提高軟件質(zhì)量和安全性的指導(dǎo)思想、開發(fā)策略、技術(shù)路線和實(shí)施方法
? 掌握代碼安全典型漏洞
? 安全漏洞攻防演練
? 掌握通用代碼編程規(guī)范
? 能夠?qū)Υa進(jìn)行質(zhì)量問題分析
? 掌握項(xiàng)目的安全設(shè)計(jì)與防御
【課程對(duì)象】IT技術(shù)負(fù)責(zé)人、軟件架構(gòu)師、系統(tǒng)分析師、資深開發(fā)人員、測(cè)試人員、信息技術(shù)安全部門的相關(guān)人員
【課程時(shí)間】2天
【課程大綱】
一、安全知識(shí)背景
1、安全基礎(chǔ)
? 當(dāng)前企業(yè)面臨的安全態(tài)勢(shì)分析
? 安全分類
? Top 10安全問題分析
? 安全案例分析
2、常見的Web攻擊手段
二、服務(wù)器&瀏覽器安全
1、服務(wù)器安全
? 服務(wù)器分等級(jí)隔離部署策略
? 應(yīng)用部署的目錄要求
? 服務(wù)器開放賬號(hào)最小特權(quán)權(quán)限
? 端口白名單開放策略
? 不同權(quán)限級(jí)別用戶增加額外訪問控制
? 公共配置存儲(chǔ)的安全
? 檢測(cè)指定web應(yīng)用是否開放非必須的http方法
? http trace方法開放測(cè)試
? 關(guān)閉后臺(tái)調(diào)試信息
? 應(yīng)用上傳路徑的安全監(jiān)控
2、瀏覽器安全
? 瀏覽器廠商對(duì)安全的日漸重視
? 同源策略
? 瀏覽器沙箱
? 惡意網(wǎng)址攔截
? 基于瀏覽器自身安全機(jī)制的提升
三、常用安全漏洞的攻與防-客戶端安全
1、跨站腳本攻擊(XSS)
? 什么是XSS
? XSS為什么是一種熱門攻擊手段
? XSS Payload的定義
? cookie劫持
? XSS釣魚
? 常見的CSS攻擊平臺(tái)
? XSS Worm
? XSS構(gòu)造技巧
? 如何防御XSS
實(shí)戰(zhàn)：XSS攻擊與防范實(shí)戰(zhàn)
2、跨站請(qǐng)求偽造(CSRF)
? CSRF定義
? CSRF可以做什么
? CSRF漏洞現(xiàn)狀
? CSRF的攻擊原理
? 如何防御CSRF
? CSRF與XSS的比較
實(shí)戰(zhàn)：CSRF修改用戶密碼以及防范措施
3、釣魚攻擊
? 什么是釣魚攻擊
? 釣魚攻擊的一般步驟
? 目前釣魚攻擊的調(diào)查報(bào)告統(tǒng)計(jì)
? 釣魚攻擊有哪些常見的方法
案例：釣魚攻擊
4、點(diǎn)擊劫持
? 點(diǎn)擊劫持的定義
? 常見的點(diǎn)擊劫持分類
5、HTML5安全
? Iframe sandbox機(jī)制
? Canvas
? PostMessage跨窗口消息傳遞
? WebStorage本地存儲(chǔ)
案例：Noreferer問題演示與防范
四、常用安全漏洞的攻與防-服務(wù)端安全
1、SQL注入
? SQL注入定義
? SQL注入目的
? 常用的SQL注入語句
? SQL注入方式
? 注入思路分析
? SQL盲注與一般SQL注入的區(qū)別
? 如何防御SQL注入
實(shí)戰(zhàn)：SQL注入攻擊與防范實(shí)戰(zhàn)
2、文件上傳和下載漏洞
? 文件上傳漏洞的定義
? 因文件上傳漏洞所帶來的安全問題
? 必須具備的條件
? 文件上傳漏洞包括哪些類型
? 如何防御文件上傳漏洞
實(shí)戰(zhàn)：文件上傳和下載漏洞注入攻擊與防范實(shí)戰(zhàn)
3、認(rèn)證與會(huì)話管理
? 認(rèn)證與授權(quán)的定義
? 認(rèn)證分類
? 密碼認(rèn)證的優(yōu)缺點(diǎn)
? 密碼設(shè)計(jì)應(yīng)遵循的原則
? 密碼出錯(cuò)策略設(shè)置
? 密碼輸入框的密文顯示
? 密碼的加密存儲(chǔ)
? 密碼的加密傳輸
? 初始化口令的要求
? 驗(yàn)證碼的安全使用
? 認(rèn)證處理模塊的合法性校驗(yàn)及認(rèn)證結(jié)果返回要求
? 關(guān)鍵事務(wù)處理的多級(jí)認(rèn)證和強(qiáng)身份認(rèn)證
? 會(huì)話重寫
? 用戶賬號(hào)的鎖定策略
? Session機(jī)制詳解
? Session常用的攻擊漏洞
? 獲取sessionid的兩種手段
? 注銷時(shí)會(huì)話清除
? 單點(diǎn)登錄
? 如何進(jìn)行認(rèn)證測(cè)試
? 不安全的數(shù)據(jù)傳輸
? 服務(wù)端業(yè)務(wù)處理的流程順序限制
案例：Session劫持與防范
4、訪問控制
? 不安全對(duì)象的引用
? 功能級(jí)的訪問必須經(jīng)過認(rèn)證和鑒權(quán)
? 認(rèn)證和鑒權(quán)必須在服務(wù)器端處理
? 采用最小化權(quán)限控制策略
? 應(yīng)用程序運(yùn)行賬號(hào)和數(shù)據(jù)庫連接賬號(hào)的分離以及最小職權(quán)原則
? 操作系統(tǒng)文件的權(quán)限控制策略
? 訪問控制的分類
? 垂直權(quán)限管理
? 水平權(quán)限管理
5、安全配置錯(cuò)誤
? 安全配置的定義
? 因安全配置錯(cuò)誤引發(fā)的安全問題
? 如何防御安全配置錯(cuò)誤引發(fā)的安全問題
案例：文件目錄的安全問題
6、使用含有已知漏洞的組件
? 描述
? 所帶來的危害
? 解決辦法
7、未驗(yàn)證的重定向和轉(zhuǎn)發(fā)
? 案例
? 解決辦法
8、敏感信息泄露
? 敏感信息的定義
? 敏感信息的危害
? 敏感信息的案例
? 如何解決敏感信息泄露引發(fā)的問題
? 如何進(jìn)行敏感信息泄露的測(cè)試
? 代碼中的敏感數(shù)據(jù)
? 禁止明文存儲(chǔ)密鑰和口令
? 禁止cookie中存儲(chǔ)明文形式敏感數(shù)據(jù)
? 安全的加密算法推薦
? 日志中敏感數(shù)據(jù)存儲(chǔ)
? 敏感數(shù)據(jù)禁止緩存到頁面
? 敏感數(shù)據(jù)表單提交規(guī)則
? 使用帶證書的SSL
? 禁止URL中攜帶敏感信息
9、拒絕服務(wù)攻擊
? 網(wǎng)絡(luò)層的拒絕服務(wù)攻擊
? 應(yīng)用層的拒絕服務(wù)攻擊
? 如何防范應(yīng)用層的拒絕服務(wù)攻擊
10、安全審計(jì)
? 安全事件和操作事件的記錄
? 安全日志的訪問權(quán)限控制
? 安全日志的分析
|
|
|
|
|
|
|
|
京公網(wǎng)安備 11011502001314號(hào)