24 giờ.

Chứng chỉ Certified Application Security Engineer (CASE) được phát triển với sự hợp tác của các chuyên gia phát triển ứng dụng và phần mềm trên toàn cầu.

Chứng chỉ CASE kiểm tra các kỹ năng và kiến thức bảo mật quan trọng cần thiết trong suốt vòng đời phát triển phần mềm (SDLC) điển hình, tập trung vào tầm quan trọng của việc triển khai các phương pháp và thực hành bảo mật trong môi trường vận hành không an toàn hiện nay.

Chương trình đào tạo chứng nhận CASE được phát triển nhằm trang bị cho các chuyên gia phần mềm những năng lực mà nhà tuyển dụng và giới học thuật toàn cầu mong đợi. Nó được thiết kế là một khóa đào tạo bảo mật ứng dụng toàn diện, thực hành để dạy các chuyên gia phần mềm cách tạo ra các ứng dụng an toàn.

Chương trình đào tạo bao gồm các hoạt động bảo mật liên quan đến tất cả các giai đoạn của SDLC an toàn: lập kế hoạch, tạo, kiểm thử và triển khai ứng dụng.

Không giống như các khóa đào tạo bảo mật ứng dụng khác, CASE không chỉ dừng lại ở các hướng dẫn về thực hành mã hóa an toàn mà còn bao gồm việc thu thập yêu cầu bảo mật, thiết kế ứng dụng mạnh mẽ và xử lý các vấn đề bảo mật trong các giai đoạn sau phát triển ứng dụng.

Điều này làm cho CASE trở thành một trong những chứng nhận bảo mật ứng dụng toàn diện nhất cho việc phát triển phần mềm an toàn trên thị trường hiện nay. Nó được mong muốn bởi các kỹ sư, chuyên gia phân tích và kiểm thử ứng dụng phần mềm từ khắp nơi trên thế giới và được các nhà tuyển dụng đánh giá cao.

• Sau khi hoàn thành khóa học này, học viên sẽ có khả năng:
• Hiểu biết chuyên sâu về SDLC an toàn và các mô hình SDLC an toàn.
• Kiến thức về OWASP Top 10, mô hình hóa mối đe dọa, SAST và DAST.
• Nắm bắt các yêu cầu bảo mật của một ứng dụng đang phát triển.
• Xác định, duy trì và thực thi các thực hành tốt nhất về bảo mật ứng dụng.
• Thực hiện đánh giá mã thủ công và tự động của ứng dụng.
• Tiến hành kiểm thử bảo mật ứng dụng cho các ứng dụng web để đánh giá các lỗ hổng.
• Thúc đẩy phát triển một chương trình bảo mật ứng dụng toàn diện.
• Đánh giá mức độ nghiêm trọng của các lỗi và công bố các báo cáo toàn diện, trình bày chi tiết các rủi ro và biện pháp giảm thiểu liên quan.
• Làm việc theo nhóm để cải thiện tình hình bảo mật.
• Các công nghệ quét bảo mật ứng dụng như AppScan, Fortify, WebInspect, kiểm thử bảo mật ứng dụng tĩnh (SAST), kiểm thử bảo mật ứng dụng động (DAST), đăng nhập một lần (SSO) và mã hóa.
• Tuân thủ các tiêu chuẩn mã hóa an toàn dựa trên các thực hành tốt nhất được chấp nhận trong ngành như:
• Hướng dẫn OWASP, hoặc CERT Secure Coding để giải quyết các lỗ hổng mã hóa phổ biến.
• Tạo một quy trình đánh giá mã nguồn phần mềm là một phần của các chu kỳ phát triển (SDLC, Agile, CI/CD).

• Các nhà phát triển Java có tối thiểu 2 năm kinh nghiệm và những cá nhân muốn trở thành kỹ sư, chuyên gia phân tích hoặc kiểm thử bảo mật ứng dụng.
• Các cá nhân tham gia vào vai trò phát triển, kiểm thử, quản lý hoặc bảo vệ ứng dụng.

Không yêu cầu điều kiện tiên quyết. Khóa học phù hợp với mọi đối tượng có nhu cầu.

Sau khi hoàn tất khóa học, học viên sẽ được cấp chứng nhận hoàn tất khóa học theo quy định của Cecomtech.

1. Hiểu về Bảo mật Ứng dụng, Mối đe dọa và Tấn công

• Sau khi hoàn thành module này, học viên sẽ có khả năng:
• Hiểu nhu cầu và lợi ích của bảo mật ứng dụng.
• Trình bày sự hiểu biết về các cuộc tấn công cấp ứng dụng phổ biến.
• Giải thích nguyên nhân của các lỗ hổng cấp ứng dụng.
• Giải thích các thành phần khác nhau của bảo mật ứng dụng toàn diện.
• Giải thích nhu cầu và lợi ích của việc tích hợp bảo mật vào Vòng đời Phát triển Phần mềm (SDLC).
• Phân biệt các hoạt động chức năng và bảo mật trong SDLC.
• Giải thích Vòng đời Phát triển Bảo mật của Microsoft (SDL).
• Trình bày sự hiểu biết về các tiêu chuẩn, mô hình và khung tham chiếu bảo mật phần mềm khác nhau.

2. Thu thập Yêu cầu Bảo mật

• Sau khi hoàn thành module này, học viên sẽ có khả năng:
• Hiểu tầm quan trọng của việc thu thập các yêu cầu bảo mật.
• Giải thích Kỹ thuật Yêu cầu Bảo mật (SRE) và các giai đoạn của nó.
• Trình bày sự hiểu biết về Các trường hợp Lạm dụng và Mô hình hóa Trường hợp Lạm dụng.
• Trình bày sự hiểu biết về Các trường hợp Bảo mật và Mô hình hóa Trường hợp Bảo mật.
• Trình bày sự hiểu biết về Các câu chuyện về Kẻ lạm dụng và Bảo mật.
• Giải thích mô hình Kỹ thuật Yêu cầu Chất lượng Bảo mật (SQUARE).
• Giải thích Mô hình Đánh giá Rủi ro, Tài sản và Lỗ hổng Quan trọng về Hoạt động (OCTAVE).

3. Thiết kế và Kiến trúc Ứng dụng An toàn

• Sau khi hoàn thành module này, học viên sẽ có khả năng:
• Hiểu tầm quan trọng của thiết kế ứng dụng an toàn.
• Giải thích các nguyên tắc thiết kế an toàn khác nhau.
• Trình bày sự hiểu biết về mô hình hóa mối đe dọa.
• Giải thích quy trình mô hình hóa mối đe dọa.
• Giải thích mô hình STRIDE và DREAD.
• Trình bày sự hiểu biết về Thiết kế Kiến trúc Ứng dụng An toàn.

4. Các Thực hành Mã hóa An toàn cho Xác thực Đầu vào

• Sau khi hoàn thành module này, học viên sẽ có khả năng:
• Hiểu nhu cầu của xác thực đầu vào.
• Giải thích các kỹ thuật xác thực dữ liệu.
• Giải thích xác thực dữ liệu trong framework Struts.
• Giải thích xác thực dữ liệu trong framework Spring.
• Trình bày kiến thức về các lỗi xác thực đầu vào phổ biến.
• Trình bày kiến thức về các thực hành mã hóa an toàn phổ biến để xác thực đầu vào.

5. Các Thực hành Mã hóa An toàn cho Xác thực và Ủy quyền

• Sau khi hoàn thành module này, học viên sẽ có khả năng:
• Hiểu các khái niệm xác thực.
• Giải thích việc triển khai xác thực trong Java.
• Trình bày kiến thức về các điểm yếu xác thực và biện pháp phòng ngừa.
• Hiểu các khái niệm ủy quyền.
• Giải thích Mô hình kiểm soát truy cập.
• Giải thích ủy quyền EJB.
• Giải thích Xác thực và Ủy quyền Java (JAAS).
• Trình bày kiến thức về các lỗi phổ biến trong ủy quyền và biện pháp đối phó.
• Giải thích bảo mật Java EE.
• Trình bày kiến thức về xác thực và ủy quyền trong Spring Security Framework.
• Trình bày kiến thức về các thực hành mã hóa phòng thủ chống lại các vấn đề xác thực và ủy quyền bị hỏng.

6. Các Thực hành Mã hóa An toàn cho Mật mã học

• Sau khi hoàn thành module này, học viên sẽ có khả năng:
• Hiểu các khái niệm cơ bản và nhu cầu mật mã học trong Java.
• Giải thích mã hóa và khóa bí mật.
• Trình bày kiến thức về việc triển khai lớp cipher.
• Trình bày kiến thức về chữ ký số và việc triển khai của nó.
• Trình bày kiến thức về Secure Socket Layer (SSL) và việc triển khai của nó.
• Giải thích Quản lý khóa an toàn.
• Trình bày kiến thức về chứng chỉ số và việc triển khai của nó.
• Trình bày kiến thức về việc triển khai Hash.
• Giải thích Mật mã Java Card.
• Giải thích Mô-đun Crypto trong Spring Security.
• Trình bày sự hiểu biết về Những điều nên và không nên trong Mật mã Java.

7. Các Thực hành Mã hóa An toàn cho Quản lý Phiên

• Sau khi hoàn thành module này, học viên sẽ có khả năng:
• Giải thích các kỹ thuật quản lý phiên Java khác nhau.
• Trình bày kiến thức về quản lý phiên trong framework Spring.
• Trình bày kiến thức về các lỗ hổng phiên và kỹ thuật giảm thiểu của chúng.
• Trình bày kiến thức về các thực hành tốt nhất và hướng dẫn để quản lý phiên an toàn.

8. Các Thực hành Mã hóa An toàn cho Xử lý Lỗi

• Sau khi hoàn thành module này, học viên sẽ có khả năng:
• Giải thích Xử lý ngoại lệ và lỗi trong Java.
• Giải thích các hành vi ngoại lệ sai lầm.
• Trình bày kiến thức về những điều nên và không nên trong xử lý lỗi.
• Giải thích xử lý lỗi Spring MVC.
• Giải thích Xử lý ngoại lệ trong Struts2.
• Trình bày kiến thức về các thực hành tốt nhất để xử lý lỗi.
• Giải thích Ghi nhật ký trong Java.
• Trình bày kiến thức về Log4j để ghi nhật ký.
• Trình bày kiến thức về các kỹ thuật mã hóa để ghi nhật ký an toàn.
• Trình bày kiến thức về các thực hành tốt nhất để ghi nhật ký.

9. Kiểm thử Bảo mật Ứng dụng Tĩnh và Động (SAST & DAST)

• Sau khi hoàn thành module này, học viên sẽ có khả năng:
• Hiểu Kiểm thử Bảo mật Ứng dụng Tĩnh (SAST).
• Trình bày kiến thức về các kỹ thuật đánh giá mã an toàn thủ công cho các lỗ hổng phổ biến nhất.
• Giải thích Kiểm thử Bảo mật Ứng dụng Động.
• Trình bày kiến thức về các công cụ quét lỗ hổng ứng dụng tự động để thực hiện DAST.
• Trình bày kiến thức về các công cụ kiểm thử bảo mật dựa trên proxy để thực hiện DAST.

10. Triển khai và Bảo trì An toàn

• Sau khi hoàn thành module này, học viên sẽ có khả năng:
• Hiểu tầm quan trọng của triển khai an toàn.
• Giải thích các thực hành bảo mật ở cấp độ máy chủ.
• Giải thích các thực hành bảo mật ở cấp độ mạng.
• Giải thích các thực hành bảo mật ở cấp độ ứng dụng.
• Giải thích các thực hành bảo mật ở cấp độ vùng chứa web (Tomcat).
• Giải thích các thực hành bảo mật ở cấp độ cơ sở dữ liệu Oracle.
• Giải thích các thực hành bảo mật ở cấp độ máy chủ SQL.
• Trình bày kiến thức về các hoạt động bảo trì và giám sát bảo mật.