آموزش تست امنیت برنامه استاتیک (SAST)

معرفی Introduction

• اهمیت تست آفلاین The importance of offline testing

• آنچه شما باید بدانید What you should know

1. شیوه های پیشرو 1. Leading Practices

• امنیت در SDLC Security in the SDLC

• روش های توسعه Development methodologies

• زبانهای برنامه نویسی Programming languages

• چارچوب های امنیتی Security frameworks

• معرفی ده برتر OWASP Intro to the OWASP Top Ten

• سایر پروژه های قابل توجه OWASP Other notable OWASP projects

• 25 خطای نرم افزاری Top 25 Software Errors

• BSIMM BSIMM

• ساخت آزمایشگاه آزمایشی شما Building your test lab

• در حال آماده کردن چک لیست شما Preparing your checklist

• امتحان فصل Chapter Quiz

2. اسناد امنیتی 2. Security Documentation

• طرح های پروژه داخلی Internal project plans

• برنامه ریزی ارتباطی Communication planning

• تغییر سیاست کنترل Change control policy

• خط مشی واکنش به حوادث امنیتی Security incident response policy

• سیاست ثبت و نظارت Logging and monitoring policy

• قراردادهای شخص ثالث Third-party agreements

• OWASP ASVS OWASP ASVS

• امتحان فصل Chapter Quiz

3. بررسی های امنیتی کد منبع 3. Source Code Security Reviews

• چالش های ارزیابی کد منبع Challenges of assessing source code

• پروژه بازبینی کد OWASP OWASP Code Review Project

• اسکنر بایت کد Bytecode scanners

• اسکنر کد باینری Binary code scanners

• مدل های بررسی کد Code review models

• مدل سازی تهدید برنامه Application threat modeling

• معیارهای بررسی کد Code review metrics

• نسخه ی نمایشی: Codacy Demo: Codacy

• Demo: SonarQube Demo: SonarQube

• مسابقه فصل Chapter Quiz

4. تست آفلاین برای ده برتر OWASP (2017) 4. Offline Testing for the OWASP Top Ten (2017)

• ده برتر OWASP The OWASP Top Ten

• A1: تزریق A1: Injection

• A2: احراز هویت خراب A2: Broken authentication

• A3: قرار گرفتن در معرض داده های حساس A3: Sensitive data exposure

• A4: موجودیت های خارجی XML (XXE) A4: XML external entities (XXE)

• A5: کنترل دسترسی خراب A5: Broken access control

• A6: پیکربندی اشتباه امنیتی A6: Security misconfiguration

• A7: برنامه نویسی بین سایتی (XSS) A7: Cross-site scripting (XSS)

• A8: غیر ایمن سازی سریال A8: Insecure deserialization

• A9: استفاده از مؤلفه هایی با آسیب پذیری های شناخته شده A9: Using components with known vulnerabilities

• A10: ثبت و نظارت کافی A10: Insufficient logging and monitoring

• امتحان فصل Chapter Quiz

نتیجه Conclusion

• مراحل بعدی Next steps