فلش‌کارت‌های آموزشی بررسی و اصلاح امنیت کد منبع

🎓 دوره آموزشی جامع

📚 اطلاعات دوره

عنوان دوره: دوره بررسی و اصلاح امنیت کد منبع

موضوع کلی: برنامه نویسی

موضوع میانی: امنیت سایبری و برنامه‌نویسی امن

📋 سرفصل‌های دوره

• 1. مقدمه‌ای بر امنیت سایبری و برنامه‌نویسی امن
• 2. چرا امنیت کد منبع اهمیت دارد؟ (مرور حملات اخیر)
• 3. مفاهیم پایه امنیت: محرمانگی، یکپارچگی، در دسترس بودن (CIA Triad)
• 4. مهاجمان، انگیزه‌ها و بردارهای حمله
• 5. چرخه عمر توسعه نرم‌افزار امن (SSDLC) - معرفی
• 6. مفاهیم پایه آسیب‌پذیری‌های نرم‌افزاری
• 7. نقش توسعه‌دهنده در امنیت نرم‌افزار
• 8. معرفی OWASP Top 10 و SANS Top 25
• 9. مدیریت ریسک پایه در توسعه نرم‌افزار
• 10. اصول اخلاقی و قانونی در امنیت سایبری و توسعه
• 11. معرفی ابزارهای اساسی برای بررسی امنیت کد
• 12. آشنایی با الگوهای طراحی امن
• 13. تفکر مهاجم: درک چگونگی سوءاستفاده
• 14. استانداردهای امنیتی و چارچوب‌های تطابق (مقدمه)
• 15. محیط‌های توسعه امن: ابزارها و تنظیمات
• 16. اعتبارسنجی ورودی (Input Validation): اصل اساسی امنیت
• 17. حملات تزریق (Injection): مقدمه و انواع کلی
• 18. SQL Injection: تشخیص و پیشگیری
• 19. Cross-Site Scripting (XSS): انواع و روش‌های مقابله
• 20. Command Injection: خطرات و محافظت
• 21. LDAP Injection و XPath Injection
• 22. NoSQL Injection: حملات و دفاع
• 23. مدیریت نشست (Session Management): پیاده‌سازی امن
• 24. احراز هویت (Authentication): روش‌های امن و آسیب‌پذیری‌ها
• 25. کنترل دسترسی (Authorization): شکستگی‌های رایج و اصول کمترین امتیاز
• 26. رمزنگاری (Cryptography): اصول استفاده امن از توابع هش و رمز
• 27. مدیریت خطا و ثبت وقایع (Error Handling & Logging): رویکردهای امن
• 28. حفاظت از داده‌ها: در حال انتقال و در حالت سکون
• 29. مدیریت حافظه (Memory Management): Buffer Overflows (برای C/C++)
• 30. مدیریت حافظه: Integer Overflows (برای C/C++)
• 31. شرایط رقابت (Race Conditions) و TOCTOU
• 32. سریال‌سازی ناامن (Insecure Deserialization)
• 33. XML External Entities (XXE): آسیب‌پذیری و دفاع
• 34. Server-Side Request Forgery (SSRF)
• 35. Insecure Direct Object References (IDOR)
• 36. پیکربندی‌های امنیتی اشتباه (Security Misconfigurations)
• 37. استفاده از مؤلفه‌های با آسیب‌پذیری شناخته شده (SCA مقدماتی)
• 38. ارتباطات ناامن (Insecure Communications): HTTPS/TLS Best Practices
• 39. امنیت سمت کاربر (Client-Side Security): DOM XSS, Clickjacking
• 40. آسیب‌پذیری‌های آپلود فایل (File Upload Vulnerabilities)
• 41. پیمایش مسیر (Path Traversal)
• 42. مدیریت داده‌های حساس: اصول و پیاده‌سازی
• 43. ذخیره‌سازی امن رمز عبور
• 44. تولید اعداد تصادفی امن
• 45. Sanitize, Encode, Escape: تفاوت‌ها و کاربردها
• 46. اصول Whitelisting و Blacklisting در اعتبارسنجی
• 47. جداسازی امتیازات (Privilege Separation)
• 48. عملیات ورودی/خروجی فایل امن
• 49. Regular Expression Denial of Service (ReDoS)
• 50. حملات تخلیه منابع (Resource Exhaustion)
• 51. آسیب‌پذیری‌های تغییر مسیر URL
• 52. افشای اطلاعات (Information Disclosure)
• 53. APIهای ناامن: آسیب‌پذیری‌ها و بهترین روش‌ها
• 54. اعتبارنامه‌های سخت‌کد شده (Hardcoded Credentials)
• 55. مدیریت Secretها در محیط‌های توسعه و تولید
• 56. متدولوژی‌های تست امنیت نرم‌افزار
• 57. بررسی کد منبع دستی (Manual Code Review): تکنیک‌ها و چک‌لیست‌ها
• 58. تست امنیت استاتیک برنامه (SAST): اصول و ابزارها
• 59. SAST: تفسیر نتایج و کاهش هشدارهای غلط
• 60. تست امنیت دینامیک برنامه (DAST): اصول و ابزارها
• 61. DAST: استفاده عملی و محدودیت‌ها
• 62. تست امنیت برنامه تعاملی (IAST)
• 63. تحلیل ترکیب نرم‌افزار (SCA): مدیریت مؤلفه‌های خارجی
• 64. مدل‌سازی تهدید (Threat Modeling): مقدمه و روش‌ها (STRIDE)
• 65. مدل‌سازی تهدید: ادغام در چرخه عمر توسعه
• 66. Fuzz Testing: کشف آسیب‌پذیری‌ها
• 67. تست نفوذ (Penetration Testing) - آشنایی برای توسعه‌دهندگان
• 68. تحلیل جریان کنترل و جریان داده در کد
• 69. گزارش‌دهی آسیب‌پذیری: ساختار و محتوا
• 70. مدیریت وصله‌ها و به‌روزرسانی‌های امنیتی
• 71. استراتژی‌های رفع آسیب‌پذیری (Remediation)
• 72. اولویت‌بندی آسیب‌پذیری‌ها
• 73. مدیریت آسیب‌پذیری: چرخه کامل
• 74. ادغام تست‌های امنیتی در CI/CD (DevSecOps)
• 75. استفاده از WAF و گیت‌وی‌های امنیتی (دیدگاه توسعه‌دهنده)
• 76. دور زدن کنترل‌های امنیتی (برای درک عمیق‌تر)
• 77. مبانی مهندسی معکوس برای تحلیل امنیت
• 78. درک توسعه اکسپلویت (Exploit Development)
• 79. معیارهای امنیتی و گزارش‌دهی عملکرد امنیتی
• 80. ساختن چک‌لیست‌های امنیتی اختصاصی پروژه
• 81. DevSecOps: فرهنگ و فرآیندها
• 82. امنیت زنجیره تأمین نرم‌افزار (Software Supply Chain Security)
• 83. امنیت کانتینرها (Docker, Kubernetes) برای توسعه‌دهندگان
• 84. ملاحظات امنیتی در Serverless
• 85. امنیت API پیشرفته
• 86. امنیت در معماری‌های میکروسرویس
• 87. امنیت برنامه‌های مبتنی بر بلاکچین (مقدمه)
• 88. امنیت برنامه‌های هوش مصنوعی و یادگیری ماشین (مقدمه)
• 89. قوانین و مقررات تطابق (Compliance): GDPR, HIPAA, PCI DSS - جنبه‌های توسعه‌ای
• 90. برنامه ریزی واکنش به حوادث امنیتی (Incident Response) برای توسعه‌دهندگان
• 91. توسعه امن در محیط‌های ابری (Cloud Security)
• 92. معماری‌های امنیتی: طراحی سیستم‌های مقاوم
• 93. پیشگیری از حملات پیشرفته و Zero-Day (دیدگاه توسعه‌دهنده)
• 94. رمزنگاری کوانتومی و چالش‌های آینده
• 95. مدیریت هویت و دسترسی (IAM) پیشرفته در کد
• 96. اصول امنیت برای IoT (اینترنت اشیا)
• 97. آموزش و آگاهی‌سازی امنیتی برای تیم توسعه
• 98. آینده امنیت برنامه: روندهای نوظهور
• 99. ایجاد فرهنگ امنیتی در تیم و سازمان
• 100. بهبود مستمر در امنیت برنامه