《软件安全设计与开发实战》 快速掌握软件过程中的安全设计和安全编码

【课程背景】

随着互联网时代的到来，企业的应用也逐步转向互联网，以互联网形式开放给用户进行使用？而互联网带来最大的问题就是安全问题，企业如何解决互联网应用的安全问题？

本课程在主动的安全开发框架指导下，深入剖析软件开发生命周期各阶段的安全细节问题，理解协同构建安全系统的方法。并通过大量的动手实操和相关案例贯穿所有的理论知识，使学员熟练掌握代码安全漏洞分析、编程规范、代码质量问题分析、安全设计与防御常见问题及解决方法。

【课程收益】

Ø 学会分析软件安全脆弱性产生的根源

Ø 展示多种攻击软件的手段、指出软件开发过程中不同人员在设计和开发中常犯的错误

Ø 探讨当前软件安全界关注的热点问题

Ø 总结和提高软件质量和安全性的指导思想、开发策略、技术路线和实施方法

Ø 掌握代码安全典型漏洞

Ø 安全漏洞攻防演练

Ø 掌握通用代码编程规范

Ø 能够对代码进行质量问题分析

Ø 掌握项目的安全设计与防御

【课程对象】IT技术负责人、软件架构师、系统分析师、资深开发人员、测试人员、信息技术安全部门的相关人员

【课程时间】2天

【课程大纲】

一、安全知识背景

1、安全基础

Ø 当前企业面临的安全态势分析

Ø 安全分类

Ø Top 10安全问题分析

Ø 安全案例分析

2、常见的Web攻击手段

二、服务器&浏览器安全

1、服务器安全

Ø 服务器分等级隔离部署策略

Ø 应用部署的目录要求

Ø 服务器开放账号最小特权权限

Ø 端口白名单开放策略

Ø 不同权限级别用户增加额外访问控制

Ø 公共配置存储的安全

Ø 检测指定web应用是否开放非必须的http方法

Ø http trace方法开放测试

Ø 关闭后台调试信息

Ø 应用上传路径的安全监控

2、浏览器安全

Ø 浏览器厂商对安全的日渐重视

Ø 同源策略

Ø 浏览器沙箱

Ø 恶意网址拦截

Ø 基于浏览器自身安全机制的提升

三、常用安全漏洞的攻与防-客户端安全

1、跨站脚本攻击(XSS)

Ø 什么是XSS

Ø XSS为什么是一种热门攻击手段

Ø XSS Payload的定义

Ø Cookie劫持

Ø XSS钓鱼

Ø 常见的CSS攻击平台

Ø XSS Worm

Ø XSS构造技巧

Ø 如何防御XSS

实战：XSS攻击与防范实战

2、跨站请求伪造(CSRF)

Ø CSRF定义

Ø CSRF可以做什么

Ø CSRF漏洞现状

Ø CSRF的攻击原理

Ø 如何防御CSRF

Ø CSRF与XSS的比较

实战：CSRF修改用户密码以及防范措施

3、钓鱼攻击

Ø 什么是钓鱼攻击

Ø 钓鱼攻击的一般步骤

Ø 目前钓鱼攻击的调查报告统计

Ø 钓鱼攻击有哪些常见的方法

案例：钓鱼攻击

4、点击劫持

Ø 点击劫持的定义

Ø 常见的点击劫持分类

5、HTML5安全

Ø Iframe sandbox机制

Ø Canvas

Ø PostMessage跨窗口消息传递

Ø WebStorage本地存储

案例：Noreferer问题演示与防范

四、常用安全漏洞的攻与防-服务端安全

1、SQL注入

Ø SQL注入定义

Ø SQL注入目的

Ø 常用的SQL注入语句

Ø SQL注入方式

Ø 注入思路分析

Ø SQL盲注与一般SQL注入的区别

Ø 如何防御SQL注入

实战：SQL注入攻击与防范实战

2、文件上传和下载漏洞

Ø 文件上传漏洞的定义

Ø 因文件上传漏洞所带来的安全问题

Ø 必须具备的条件

Ø 文件上传漏洞包括哪些类型

Ø 如何防御文件上传漏洞

实战：文件上传和下载漏洞注入攻击与防范实战

3、认证与会话管理

Ø 认证与授权的定义

Ø 认证分类

Ø 密码认证的优缺点

Ø 密码设计应遵循的原则

Ø 密码出错策略设置

Ø 密码输入框的密文显示

Ø 密码的加密存储

Ø 密码的加密传输

Ø 初始化口令的要求

Ø 验证码的安全使用

Ø 认证处理模块的合法性校验及认证结果返回要求

Ø 关键事务处理的多级认证和强身份认证

Ø 会话重写

Ø 用户账号的锁定策略

Ø Session机制详解

Ø Session常用的攻击漏洞

Ø 获取sessionid的两种手段

Ø 注销时会话清除

Ø 单点登录

Ø 如何进行认证测试

Ø 不安全的数据传输

Ø 服务端业务处理的流程顺序限制

案例：Session劫持与防范

4、访问控制

Ø 不安全对象的引用

Ø 功能级的访问必须经过认证和鉴权

Ø 认证和鉴权必须在服务器端处理

Ø 采用最小化权限控制策略

Ø 应用程序运行账号和数据库连接账号的分离以及最小职权原则

Ø 操作系统文件的权限控制策略

Ø 访问控制的分类

Ø 垂直权限管理

Ø 水平权限管理

5、安全配置错误

Ø 安全配置的定义

Ø 因安全配置错误引发的安全问题

Ø 如何防御安全配置错误引发的安全问题

案例：文件目录的安全问题

6、使用含有已知漏洞的组件

Ø 描述

Ø 所带来的危害

Ø 解决办法

7、未验证的重定向和转发

Ø 案例

Ø 解决办法

8、敏感信息泄露

Ø 敏感信息的定义

Ø 敏感信息的危害

Ø 敏感信息的案例

Ø 如何解决敏感信息泄露引发的问题

Ø 如何进行敏感信息泄露的测试

Ø 代码中的敏感数据

Ø 禁止明文存储密钥和口令

Ø 禁止Cookie中存储明文形式敏感数据

Ø 安全的加密算法推荐

Ø 日志中敏感数据存储

Ø 敏感数据禁止缓存到页面

Ø 敏感数据表单提交规则

Ø 使用带证书的SSL

Ø 禁止URL中携带敏感信息

9、拒绝服务攻击

Ø 网络层的拒绝服务攻击

Ø 应用层的拒绝服务攻击

Ø 如何防范应用层的拒绝服务攻击

10、安全审计

Ø 安全事件和操作事件的记录

Ø 安全日志的访问权限控制

Ø 安全日志的分析