🎓 دوره آموزشی جامع

📚 اطلاعات دوره

عنوان دوره: توسعه وب امن: راهنمای عملی برای برنامه‌نویسان

موضوع کلی: توسعه امن نرم‌افزار

موضوع میانی: تامین امنیت برنامه‌های کاربردی وب

📋 سرفصل‌های دوره (100 موضوع)

• 1. مقدمه‌ای بر امنیت وب و ذهنیت امنیتی
• 2. چرا امنیت برای توسعه‌دهندگان اهمیت دارد؟
• 3. چشم‌انداز تهدیدات وب در دنیای امروز
• 4. مثلث امنیت اطلاعات: محرمانگی، یکپارچگی، دسترس‌پذیری (CIA Triad)
• 5. معرفی OWASP Top 10 به عنوان نقشه راه
• 6. شناخت اکوسیستم وب: مرورگر، سرور، و پروتکل HTTP
• 7. پروتکل HTTPS و لزوم رمزنگاری ارتباطات
• 8. مدل‌سازی تهدید (Threat Modeling): مفاهیم اولیه
• 9. راه‌اندازی یک محیط توسعه امن
• 10. تفکر تهاجمی: چگونه مانند یک هکر فکر کنیم
• 11. حملات تزریق (Injection): مقدمه‌ای بر یک خانواده خطرناک
• 12. تزریق SQL (SQL Injection): درک عمیق آسیب‌پذیری
• 13. تزریق SQL مبتنی بر خطا و مبتنی بر UNION
• 14. تزریق SQL کور: تکنیک‌های مبتنی بر زمان و محتوا (Boolean-based)
• 15. جلوگیری از تزریق SQL: استفاده از Prepared Statements و Parameterized Queries
• 16. تزریق NoSQL و روش‌های مقابله با آن
• 17. تزریق دستور سیستم‌عامل (OS Command Injection)
• 18. Cross-Site Scripting (XSS): خطری فراتر از یک هشدار پاپ‌آپ
• 19. XSS منعکس‌شده (Reflected XSS)
• 20. XSS ذخیره‌شده (Stored XSS)
• 21. XSS مبتنی بر DOM (DOM-based XSS)
• 22. دفاع در برابر XSS: اعتبارسنجی ورودی (Input Validation)
• 23. دفاع در برابر XSS: کدگذاری خروجی حساس به محتوا (Context-Aware Output Encoding)
• 24. سیاست امنیت محتوا (Content Security Policy - CSP) به عنوان یک لایه دفاعی قدرتمند
• 25. جعل درخواست بین سایتی (Cross-Site Request Forgery - CSRF)
• 26. مکانیزم حمله CSRF و سناریوهای واقعی
• 27. دفاع در برابر CSRF: توکن‌های ضد CSRF
• 28. دفاع در برابر CSRF: استفاده از هدر SameSite برای کوکی‌ها
• 29. احراز هویت شکسته (Broken Authentication)
• 30. مدیریت نشست (Session Management) ناامن و سرقت نشست
• 31. حملات تثبیت نشست (Session Fixation)
• 32. بهترین شیوه‌ها برای ذخیره‌سازی امن رمزهای عبور: Hashing و Salting
• 33. استفاده از الگوریتم‌های مدرن برای هش کردن رمز عبور: Bcrypt و Argon2
• 34. پیاده‌سازی فرم ورود (Login) امن
• 35. پیاده‌سازی فرآیند بازیابی رمز عبور امن
• 36. کنترل دسترسی شکسته (Broken Access Control)
• 37. ارجاع مستقیم ناامن به اشیاء (Insecure Direct Object References - IDOR)
• 38. افزایش سطح دسترسی: عمودی و افقی (Vertical and Horizontal Privilege Escalation)
• 39. پیکربندی نادرست امنیتی (Security Misconfiguration)
• 40. افشای اطلاعات حساس (Sensitive Data Exposure)
• 41. موجودیت‌های خارجی XML (XML External Entity - XXE)
• 42. Deserialization ناامن (Insecure Deserialization)
• 43. استفاده از کامپوننت‌های با آسیب‌پذیری‌های شناخته‌شده
• 44. لاگ‌برداری و نظارت ناکافی (Insufficient Logging & Monitoring)
• 45. جعل درخواست سمت سرور (Server-Side Request Forgery - SSRF)
• 46. آسیب‌پذیری‌های آپلود فایل: اجرای کد از راه دور
• 47. ایمن‌سازی فرآیند آپلود فایل: اعتبارسنجی نوع، اندازه و محتوا
• 48. تغییر مسیرها و فورواردهای نامعتبر (Unvalidated Redirects and Forwards)
• 49. امنیت در چرخه حیات توسعه نرم‌افزار (Secure SDLC)
• 50. مدل‌سازی تهدید در عمل: روش STRIDE
• 51. اصول کدنویسی امن: اصل حداقل دسترسی (Principle of Least Privilege)
• 52. اصول کدنویسی امن: دفاع در عمق (Defense in Depth)
• 53. اصول کدنویسی امن: اعتبارسنجی تمام ورودی‌ها
• 54. بازبینی کد با تمرکز بر امنیت (Secure Code Review)
• 55. تست امنیت استاتیک برنامه (SAST)
• 56. تست امنیت داینامیک برنامه (DAST)
• 57. تحلیل اجزای نرم‌افزار (SCA) و مدیریت امنیت وابستگی‌ها
• 58. مقدمه‌ای بر DevSecOps: یکپارچه‌سازی امنیت در CI/CD
• 59. مبانی رمزنگاری برای توسعه‌دهندگان
• 60. تفاوت بین رمزنگاری (Encryption) و درهم‌سازی (Hashing)
• 61. رمزنگاری متقارن و نامتقارن
• 62. TLS/SSL چگونه کار می‌کند؟
• 63. گواهی‌های دیجیتال و مراجع صدور گواهی (CA)
• 64. اشتباهات رایج در پیکربندی TLS
• 65. امنیت توکن‌های وب JSON (JWT)
• 66. بررسی الگوریتم‌های امضای JWT: متقارن در مقابل نامتقارن (HS256 vs RS256)
• 67. هدرهای امنیتی HTTP: یک راهکار ساده و مؤثر
• 68. پیاده‌سازی HTTP Strict Transport Security (HSTS)
• 69. هدر X-Frame-Options برای مقابله با Clickjacking
• 70. هدر X-Content-Type-Options برای جلوگیری از MIME Sniffing
• 71. هدر Content Security Policy (CSP): پیکربندی پیشرفته
• 72. امنیت API: چالش‌های جدید در معماری‌های مدرن
• 73. احراز هویت و کنترل دسترسی در RESTful API
• 74. آسیب‌پذیری‌های رایج API بر اساس OWASP API Security Top 10
• 75. امنیت GraphQL: جلوگیری از حملات پرس‌وجوی پیچیده
• 76. مقابله با حملات Brute-Force و Credential Stuffing
• 77. محدودسازی نرخ درخواست (Rate Limiting)
• 78. پیاده‌سازی قفل شدن حساب کاربری پس از تلاش‌های ناموفق
• 79. امنیت وب‌سوکت‌ها (WebSockets)
• 80. امنیت در معماری میکروسرویس
• 81. امنیت کانتینرها: بهترین شیوه‌های امنیتی برای Docker
• 82. امنیت در محیط‌های ابری (Cloud Security) و مدل مسئولیت مشترک
• 83. پیکربندی نادرست منابع ابری: یک تهدید بزرگ
• 84. مدیریت هویت و دسترسی (IAM) در پلتفرم‌های ابری
• 85. مدیریت اسرار (Secrets Management): ذخیره امن کلیدهای API و اطلاعات حساس
• 86. استفاده از ابزارهایی مانند HashiCorp Vault یا AWS Secrets Manager
• 87. Race Conditions در برنامه‌های وب
• 88. حملات Denial-of-Service (DoS) در لایه اپلیکیشن
• 89. فایروال برنامه وب (WAF) چیست و چگونه به ما کمک می‌کند؟
• 90. پاسخ به حوادث امنیتی (Incident Response) برای توسعه‌دهندگان
• 91. برنامه‌های Bug Bounty و افشای مسئولانه (Responsible Disclosure)
• 92. ساخت یک چک‌لیست امنیتی برای توسعه و انتشار محصول
• 93. یادگیری مستمر: چگونه در دنیای امنیت وب به‌روز بمانیم؟