فلش‌کارت‌های آموزشی از طراحی تا استقرار: آموزش جامع Building Secure Software جان ویگا

🎓 دوره آموزشی جامع

📚 اطلاعات دوره

عنوان دوره: دوره از طراحی تا استقرار: آموزش جامع Building Secure Software جان ویگا

موضوع کلی: امنیت نرم‌افزار

موضوع میانی: اصول و مبانی امنیت نرم‌افزار

📋 سرفصل‌های دوره

• 1. مقدمه‌ای بر امنیت نرم‌افزار: چرا این دوره مهم است؟
• 2. نگاهی جامع به چرخه عمر توسعه نرم‌افزار امن (SSDLC)
• 3. مفاهیم کلیدی: آسیب‌پذیری، تهدید، ریسک، بهره‌برداری، حمله
• 4. سه‌گانه CIA: محرمانگی، یکپارچگی، در دسترس بودن
• 5. ذهنیت مهاجم: چگونه فکر می‌کنند؟
• 6. شناخت سطوح حمله (Attack Surface)
• 7. معرفی کتاب "Building Secure Software" و رویکرد آن
• 8. اصل حداقل امتیاز: چرا هرگز بیشتر از نیاز دسترسی ندهیم؟
• 9. اصل دفاع در عمق: چندلایه کردن امنیت
• 10. اصل Fail-Safe Defaults: پیش‌فرض‌های امن
• 11. اصل اقتصاد مکانیزم‌ها: سادگی، شفافیت و کوچکی
• 12. اصل جداسازی امتیازات: تقسیم وظایف امنیتی
• 13. اصل طراحی باز: عدم اتکا بر پنهان‌کاری برای امنیت
• 14. اصل عدم اعتماد به ورودی: همه ورودی‌ها مشکوک هستند
• 15. مدیریت اعتماد: مرزهای اعتماد و مناطق عدم اعتماد
• 16. معماری امنیتی: طراحی زیربنای امن سیستم
• 17. جداسازی و کپسوله‌سازی امنیتی
• 18. مدل‌سازی تهدید: یک دید کلی
• 19. چرا مدل‌سازی تهدید ضروری است؟
• 20. مراحل مدل‌سازی تهدید: شناسایی، تجزیه و تحلیل، کاهش
• 21. تکنیک STRIDE: دسته‌بندی تهدیدات امنیتی
• 22. کاربرد STRIDE در شناسایی تهدیدات طراحی
• 23. دیاگرام‌های جریان داده (DFD) در مدل‌سازی تهدید
• 24. شناسایی دارایی‌ها، مهاجمان و اهداف حمله
• 25. تعیین ریسک و اولویت‌بندی با متد DREAD
• 26. مدل‌سازی تهدید در فازهای مختلف توسعه نرم‌افزار
• 27. اعتبارسنجی ورودی: قلب امنیت نرم‌افزار
• 28. White-listing در برابر Black-listing برای اعتبارسنجی
• 29. اعتبارسنجی خروجی و Encoding: جلوگیری از حملات XSS
• 30. مدیریت خطا و استثنائات امن: اطلاعات حساس را فاش نکنید
• 31. کنترل جریان برنامه: جلوگیری از پرش‌های ناخواسته
• 32. مدیریت امن حافظه: جلوگیری از سرریز بافر
• 33. تشخیص و پیشگیری از سرریز بافر مبتنی بر پشته
• 34. تشخیص و پیشگیری از سرریز بافر مبتنی بر هیپ (Heap-based Buffer Overflow)
• 35. جلوگیری از سرریز عدد صحیح و مخاطرات آن
• 36. برنامه‌نویسی با کمترین امتیاز (Least Privilege) در کد
• 37. استفاده امن از توابع و APIهای سیستم
• 38. مدیریت امن رشته‌ها و توابع مربوطه
• 39. دسترسی امن به فایل‌ها و دایرکتوری‌ها
• 40. اجرای امن کد با Sandbox و Containerization
• 41. استفاده از تصادفی‌سازی امن و تولید اعداد رندوم
• 42. مدیریت زمان و آسیب‌پذیری‌های Race Condition
• 43. برنامه‌نویسی امن در محیط‌های چندنخی
• 44. حملات Command Injection: جلوگیری و شناسایی
• 45. آسیب‌پذیری SQL Injection: ریشه‌ها و راه‌های پیشگیری
• 46. استفاده از Prepared Statements و پارامترسازی برای SQL Injection
• 47. حملات Cross-Site Scripting (XSS): انواع و دفاع
• 48. Content Security Policy (CSP): لایه‌ای برای دفاع در برابر XSS
• 49. حملات Cross-Site Request Forgery (CSRF): مکانیزم‌ها و پیشگیری
• 50. توکن‌های Anti-CSRF و SameSite Cookies
• 51. آسیب‌پذیری Insecure Direct Object References (IDOR)
• 52. کنترل دسترسی شکسته (Broken Access Control): مشکلات رایج
• 53. پیاده‌سازی صحیح کنترل دسترسی بر اساس نقش (RBAC)
• 54. پیاده‌سازی صحیح کنترل دسترسی مبتنی بر ویژگی (ABAC)
• 55. آسیب‌پذیری‌های احراز هویت: ضعف در مدیریت رمز عبور
• 56. ذخیره‌سازی امن رمز عبور: هشینگ و Salt
• 57. احراز هویت چند عاملی (MFA): یک ضرورت امنیتی
• 58. مدیریت نشست امن: توکن‌ها و کوکی‌ها
• 59. آسیب‌پذیری‌های پیکربندی اشتباه امنیتی (Security Misconfiguration)
• 60. Hardening سرورها و محیط‌های اجرایی
• 61. افشای اطلاعات حساس (Sensitive Data Exposure): حفاظت از داده‌ها
• 62. رمزنگاری داده در حال انتقال (Data in Transit) با TLS/SSL
• 63. رمزنگاری داده در حال سکون (Data at Rest)
• 64. آسیب‌پذیری‌های XML External Entities (XXE)
• 65. حملات Deserialization ناامن: چالش‌ها و دفاع
• 66. آسیب‌پذیری‌های File Upload: کنترل دقیق ورودی
• 67. حملات Server-Side Request Forgery (SSRF)
• 68. حملات Open Redirect: مخاطرات تغییر مسیر
• 69. آسیب‌پذیری‌های Directory Traversal (Path Traversal)
• 70. استفاده از کامپوننت‌های دارای آسیب‌پذیری شناخته شده (SCA)
• 71. مدیریت وابستگی‌ها و به‌روزرسانی‌های امنیتی
• 72. مقدمه‌ای بر رمزنگاری: مفاهیم پایه
• 73. الگوریتم‌های رمزنگاری متقارن: AES، DES
• 74. الگوریتم‌های رمزنگاری نامتقارن: RSA، ECDSA
• 75. توابع هش رمزنگاری: SHA-256، SHA-3
• 76. امضای دیجیتال: اعتبار و عدم انکار
• 77. زیرساخت کلید عمومی (PKI) و گواهی‌نامه‌های دیجیتال
• 78. مدیریت کلید رمزنگاری: تولید، ذخیره و انقضا
• 79. انتخاب الگوریتم‌های رمزنگاری مناسب و پیاده‌سازی صحیح
• 80. پروتکل‌های امن ارتباطی: TLS 1.3
• 81. تست امنیت نرم‌افزار در طول SSDLC
• 82. تحلیل استاتیک امنیت نرم‌افزار (SAST): ابزارها و کاربرد
• 83. تحلیل دینامیک امنیت نرم‌افزار (DAST): ابزارها و کاربرد
• 84. تست نفوذ (Penetration Testing): شبیه‌سازی حملات واقعی
• 85. تست امنیت ترکیبی (IAST) و تست امنیت تعاملی (RASP)
• 86. بازبینی دستی کد: یافتن ظرافت‌های امنیتی
• 87. تست فازینگ (Fuzzing): کشف نقاط ضعف غیرمنتظره
• 88. تحلیل ترکیبات نرم‌افزاری (SCA): شناسایی کامپوننت‌های آسیب‌پذیر
• 89. نوشتن تست‌های امنیتی واحد (Unit Security Tests)
• 90. ادغام تست‌های امنیتی در چرخه CI/CD
• 91. لاگ‌برداری و مانیتورینگ امن: مشاهده و ثبت رویدادها
• 92. ثبت رویدادهای امنیتی (Security Logging): چه چیزهایی را لاگ کنیم؟
• 93. مانیتورینگ فعال (Active Monitoring) و هشداردهی
• 94. تجزیه و تحلیل لاگ‌ها و سیستم‌های SIEM
• 95. مدیریت وصله‌های امنیتی (Patch Management)
• 96. به‌روزرسانی‌های امنیتی مستمر و خودکارسازی
• 97. طرح واکنش به حادثه (Incident Response Plan): آمادگی برای بدترین‌ها
• 98. مراحل واکنش به حادثه: شناسایی، مهار، ریشه‌کن کردن، بازیابی
• 99. امنیت در محیط‌های ابری: نکات کلیدی
• 100. آینده امنیت نرم‌افزار: روندهای جدید و چالش‌ها