恆逸資訊安全 - Owasp

OWASP開發者相關通用資安知識實戰演練

Practical Drill on Common Information Security Knowledge for OWASP Developers
  • 時數：14小時
  • 費用：NT$ 12,000
  • 點數：3.0

選擇查詢分區開課時間

地點 班號 日期 時間 預約
台北 25954 班 2025/04/28 ~ 2025/04/29 每週一二 09:00~17:00 預約

目前查無開課時段

詳細開課時間請洽詢業務
新竹、台中、高雄如有上課需求，請參考台北開課日期，洽當地服務人員依需求加開遠距開課日期

聯絡恆逸

教材

恆逸專用教材

課程目標

近年來資訊安全意識抬頭，在資安即國安的口號中，軟體開發的安全性考量變成是整個資安產業鏈中最上游的一環，而開放網路軟體安全計畫，簡稱OWASP(Open Web Application Security Project)這個社群大概幾年就會對目前的產業安全提供風險評估，本課程將會探討說明解釋OWASP的top10與Api top10的原因，相關知識與開發時對應的因應措施。本課程並非程式開發導向，所以並不會特定用Java/C# .NET或PHP進行演練，但對於相關的攻防議題講師會以最新的asp.net core與spring boot/cloud舉例。

適合對象

  1. 網頁與API開發人員
  2. 專案經理、專案主管
  3. 系統架構師

預備知識

  1. 網路基本概念
  2. Http基本概念
  3. Linux基本操作
  4. 由於和網頁有關，對JavaScript有基本認識者佳

課程內容

  1. OWASP 2021 top 10

    1.1 A01 Broken Access Control(權限控制失效)

    1.2 A02 Cryptographic Failures(加密機制失效)

    1.3 A03 Injection(注入式攻擊)

    1.4 A04 Insecure Design(不安全設計)

    1.5 A05 Security Misconfiguration(安全設定缺陷)

    1.6 A06 Vulnerable and Outdated Components(危險或過舊的元件)

    1.7 A07 Identification and Authentication Failures(認證及驗證機制失效)

    1.8 A08 Software and Data Integrity Failures(軟體及資料完整性失效)

    1.9 A09 Security Logging and Monitoring Failures(資安記錄及監控失效)

    1.10 A10 Server Side Request Forgery (SSRF)(伺服端請求偽造)

    ◆ 1.10.1 Spring Boot中相關的應變

    ◆ 1.10.2 其餘框架的相關說明

  2. OWASP API top 10

    2.1.API1:2023 Broken Object Level Authorization(失效的物件階層授權控制)

    2.2.API2:2023 Broken Authentication(失效的認證)

    2.3.API3:2023 Broken Object Property Level Authorization(失效的物件)

    2.4.API4:2023 Unrestricted Resource Consumption(未管控的資源消耗)

    2.5.API5:2023 Broken Function Level Authorization(失效的函數階層授權)

    2.6.API6:2023 Unrestricted Access to Sensitive Business Flows(未控管機敏商業流程控管)

    2.7.API7:2023 Server Side Request Forgery(伺服器端請求偽造)

    2.8.API8:2023 Security Misconfiguration(安全性的錯誤配製)

    2.9.API9:2023 Improper Inventory Management(不適當的倉儲管理)

    2.10.API10:2023 Unsafe Consumption of APIs(不安全的API使用)

  3. 相關的工具與Kali Linux設定介紹

  4. 案例介紹

學會技能

  1. 使用proxy充份理解網頁/API在通訊時的協定，進而操作修改參數，達到理解風險並且修補的目的
  2. 檢測目標系統有哪些port
  3. 理解如何閱讀CVE(Common Vulnerabilities and Exposures)
  4. 理解API設計上可能的風險進而理解架構師該如何防範因應