کتاب صوتی توسعه نرم‌افزار امن با رویکرد DevSecOps

🎓 دوره آموزشی جامع

📚 اطلاعات دوره

عنوان دوره: دوره توسعه نرم‌افزار امن با رویکرد DevSecOps

موضوع کلی: برنامه نویسی

موضوع میانی: امنیت سایبری و برنامه‌نویسی امن

📋 سرفصل‌های دوره

• 1. مقدمه‌ای بر مفاهیم امنیت سایبری
• 2. سه‌گانه امنیت اطلاعات: محرمانگی، یکپارچگی، دسترس‌پذیری (CIA Triad)
• 3. آشنایی با چرخه حیات توسعه نرم‌افزار (SDLC)
• 4. تکامل از DevOps به DevSecOps
• 5. اصول و فلسفه اصلی DevSecOps
• 6. ذهنیت انتقال امنیت به مراحل ابتدایی (Shift Left)
• 7. آشنایی با تهدیدها، آسیب‌پذیری‌ها و ریسک‌ها
• 8. معرفی بردارهای حمله متداول
• 9. معرفی اصول طراحی امن (Secure Design Principles)
• 10. نقش قهرمان امنیت (Security Champion) در تیم
• 11. آشنایی با استانداردها و مدل‌های بلوغ امنیت نرم‌افزار (مانند OWASP SAMM)
• 12. مقدمه‌ای بر OWASP Top 10
• 13. حملات تزریق (Injection) و انواع آن (SQL, NoSQL, OS)
• 14. روش‌های پیشگیری از حملات تزریق
• 15. احراز هویت شکسته (Broken Authentication)
• 16. پیاده‌سازی مکانیزم‌های احراز هویت امن (MFA, OAuth2, JWT)
• 17. مدیریت امن نشست‌ها (Session Management)
• 18. افشای داده‌های حساس (Sensitive Data Exposure)
• 19. مبانی رمزنگاری: الگوریتم‌های متقارن و نامتقارن
• 20. کاربرد صحیح توابع هش (Hashing) و نمک‌زنی (Salting)
• 21. پیکربندی و استفاده امن از TLS/SSL
• 22. موجودیت‌های خارجی XML (XXE)
• 23. کنترل دسترسی شکسته (Broken Access Control)
• 24. پیاده‌سازی کنترل دسترسی مبتنی بر نقش (RBAC)
• 25. پیکربندی‌های امنیتی نادرست (Security Misconfiguration)
• 26. حملات اسکریپت‌نویسی بین سایتی (XSS): Stored, Reflected, DOM-based
• 27. جلوگیری از حملات XSS با اعتبارسنجی ورودی و کدگذاری خروجی
• 28. عدم امنیت در فرآیند Deserialization
• 29. استفاده از کامپوننت‌ها با آسیب‌پذیری‌های شناخته‌شده
• 30. تحلیل کامپوننت‌های نرم‌افزار (SCA) و مدیریت وابستگی‌ها
• 31. ناکافی بودن لاگینگ و مانیتورینگ
• 32. جعل درخواست میان‌وب‌گاهی (CSRF) و توکن‌های ضد CSRF
• 33. جعل درخواست سمت سرور (SSRF)
• 34. روش‌های امن برای آپلود فایل
• 35. حملات پیمایش مسیر (Directory Traversal)
• 36. اعتبارسنجی، پاک‌سازی و فیلترینگ ورودی‌ها (Input Validation & Sanitization)
• 37. مدیریت خطای امن (Secure Error Handling)
• 38. امنیت مدیریت حافظه و جلوگیری از سرریز بافر (Buffer Overflow)
• 39. طراحی امن API (RESTful & GraphQL)
• 40. احراز هویت و صدور مجوز در APIها
• 41. محدودسازی نرخ درخواست (Rate Limiting) و جلوگیری از حملات DoS
• 42. یکپارچه‌سازی امنیت در فاز نیازمندی‌ها
• 43. تعریف نیازمندی‌های امنیتی و User Story های امن
• 44. تحلیل ریسک معماری نرم‌افزار
• 45. مدل‌سازی تهدید (Threat Modeling) در فاز طراحی
• 46. معرفی مدل STRIDE برای شناسایی تهدیدها
• 47. استفاده از نمودارهای جریان داده (DFD) برای تحلیل امنیتی
• 48. فرایند بازبینی کد امن (Secure Code Review)
• 49. بازبینی کد همتا به همتا با تمرکز بر امنیت
• 50. آشنایی با انواع تست‌های امنیتی
• 51. تست واحد (Unit Testing) برای سناریوهای امنیتی
• 52. تست یکپارچه‌سازی (Integration Testing) با رویکرد امنیتی
• 53. آشنایی با تست فازی (Fuzz Testing)
• 54. پیاده‌سازی امنیت در متدولوژی‌های چابک (Agile) و اسکرام
• 55. تعریف "Definition of Done" با معیارهای امنیتی
• 56. مدیریت و اولویت‌بندی آسیب‌پذیری‌ها
• 57. مقدمه‌ای بر پایپ‌لاین CI/CD
• 58. امن‌سازی خود پایپ‌لاین CI/CD
• 59. تست امنیت استاتیک برنامه (SAST)
• 60. یکپارچه‌سازی ابزارهای SAST در محیط توسعه (IDE)
• 61. ادغام ابزارهای SAST در پایپ‌لاین CI
• 62. تحلیل و مدیریت نتایج SAST
• 63. تست امنیت داینامیک برنامه (DAST)
• 64. ادغام ابزارهای DAST در محیط تست و Staging
• 65. مقایسه SAST و DAST و زمان استفاده از هر کدام
• 66. تست امنیت تعاملی برنامه (IAST)
• 67. مدیریت مخفی‌ها (Secret Management): کلیدها، توکن‌ها و رمزهای عبور
• 68. استفاده از Vaultها (مانند HashiCorp Vault یا AWS Secrets Manager)
• 69. اسکن مخفی‌ها در مخازن کد (Secrets Scanning)
• 70. مفاهیم زیرساخت به عنوان کد (Infrastructure as Code - IaC)
• 71. اسکن امنیتی کدهای IaC (مانند Terraform, CloudFormation)
• 72. مقدمه‌ای بر کانتینرسازی با داکر (Docker)
• 73. اسکن ایمیج‌های کانتینر برای یافتن آسیب‌پذیری‌ها
• 74. نکات امنیتی در نوشتن Dockerfile
• 75. امنیت زمان اجرای کانتینرها (Container Runtime Security)
• 76. امنیت در Kubernetes: سیاست‌های امنیتی Pod
• 77. سیاست‌های شبکه در Kubernetes
• 78. استراتژی‌های استقرار امن (Blue/Green, Canary)
• 79. مبانی امنیت ابر (Cloud Security) و مدل مسئولیت مشترک
• 80. مدیریت هویت و دسترسی (IAM) در محیط ابر
• 81. امن‌سازی فضای ذخیره‌سازی ابری (مانند S3 Buckets)
• 82. امنیت شبکه در ابر (VPC, Security Groups)
• 83. یکپارچه‌سازی فایروال برنامه وب (WAF)
• 84. آشنایی با سیستم‌های مدیریت اطلاعات و رویدادهای امنیتی (SIEM)
• 85. لاگینگ متمرکز برای حسابرسی امنیتی
• 86. مانیتورینگ و هشداردهی آنی (Real-time Monitoring & Alerting)
• 87. استفاده از مانیتورینگ عملکرد برنامه (APM) برای اهداف امنیتی
• 88. محافظت از خود برنامه در زمان اجرا (RASP)
• 89. مهندسی آشوب (Chaos Engineering) برای سنجش تاب‌آوری امنیتی
• 90. تست نفوذ (Penetration Testing) و برنامه‌های پاداش در ازای باگ (Bug Bounty)
• 91. فرآیند مدیریت وصله‌های امنیتی (Patch Management)
• 92. برنامه‌ریزی بازیابی از فاجعه (Disaster Recovery) و تداوم کسب‌وکار
• 93. انطباق با مقررات و استانداردها (Compliance) مانند GDPR و HIPAA
• 94. فلسفه امنیت به عنوان کد (Security as Code)
• 95. ایجاد و ترویج فرهنگ امنیت در سازمان
• 96. ایجاد شبکه قهرمانان امنیت (Security Champions Network)
• 97. پاسخ به رخداد (Incident Response) و تحلیل ریشه‌ای آن
• 98. تدوین استانداردها و راهنماهای کدنویسی امن
• 99. آینده DevSecOps: هوش مصنوعی و یادگیری ماشین در امنیت
• 100. **اتوماسیون امنیت: زیرساخت به عنوان کد (IaC) امن و پیکربندی خودکار امنیت**