آموزش تست امنیت برنامه پویا (DAST)

معرفی Introduction

• اهمیت تست آنلاین The importance of online testing

• آنچه شما باید بدانید What you should know

1. تست امنیت در QA 1. Security Testing in QA

• فرآیند تضمین کیفیت نرم افزار Software quality assurance process

• تست مثبت Positive testing

• تست منفی Negative testing

• معیارهای SQA SQA metrics

• راهنمای تست OWASP OWASP Testing Guide

• نسخه ی نمایشی: OWASP ZAP Demo: OWASP ZAP

• امتحان فصل Chapter Quiz

2. ارزیابی برنامه های مستقر 2. Assessing Deployed Apps

• تست دستی در مقابل خودکار Manual vs. automated testing

• اسکن در مقابل تست قلم Scanning vs. pen testing

• تست در غیر تولید Testing in non-production

• تست در تولید Testing in production

• گردهمایی OSINT OSINT gathering

• پروکسی های برنامه وب Web app proxies

• نسخه ی نمایشی: Fiddler2 Demo: Fiddler2

• نسخه ی نمایشی: Burp Suite Demo: Burp Suite

• نسخه ی نمایشی: چارچوب تست وب سامورایی (WTF) Demo: Samurai Web Testing Framework (WTF)

• امتحان فصل Chapter Quiz

3. Web App Pen Testing 3. Web App Pen Testing

• محدوده آزمایش قلم برنامه وب Scoping a web app pen test

• جلوگیری از اثرات تولید Avoiding production impacts

• استاندارد اجرای تست نفوذ The penetration testing execution standard

• انواع تست قلم Types of pen tests

• فایروال برنامه های وب Web application firewalls

• SIEM ها SIEMs

• تیم بنفش Purple teaming

• نسخه ی نمایشی: OWASP OWTF Demo: OWASP OWTF

• امتحان فصل Chapter Quiz

4. تست برای ده برتر OWASP (2017) 4. Testing for the OWASP Top Ten (2017)

• ده برتر OWASP The OWASP Top Ten

• A1: تزریق A1: Injection

• A2: احراز هویت خراب A2: Broken authentication

• A3: قرار گرفتن در معرض داده های حساس A3: Sensitive data exposure

• A4: موجودیت های خارجی XML (XXE) A4: XML external entities (XXE)

• A5: کنترل دسترسی خراب A5: Broken access control

• A6: پیکربندی اشتباه امنیتی A6: Security misconfiguration

• A7: برنامه نویسی بین سایتی (XSS) A7: Cross-site scripting (XSS)

• A8: غیر ایمن سازی سریال A8: Insecure deserialization

• A9: استفاده از مؤلفه هایی با آسیب پذیری های شناخته شده A9: Using components with known vulnerabilities

• A10: ثبت و نظارت کافی A10: Insufficient logging and monitoring

• امتحان فصل Chapter Quiz

نتیجه Conclusion

• مراحل بعدی Next steps