防御性设计
受众： 软件工程师、IT 人员难度级别： 基础
时间： 8 个模块，每个模块 3-5 分钟 + 每个模块 5 道题
可用性： 在培训中以单独模块的形式提供。无需一并分配或观看，各模块设计为可独立学习。
模块：
- 防御性设计：应用程序组合管理
- 防御性设计：面向技术人员的 GRC（治理、风险与合规）
- 防御性设计：开源代码
- 防御性设计：OWASP
- 防御性设计：面向技术人员的网络钓鱼防范
- 防御性设计：面向技术人员的社会工程防范
- 防御性设计：威胁建模
- 防御性设计：用户权限与访问管理
预告片： 观看预告片
营销材料： 防御性设计营销套件
主要学习概念：
-
防御性设计：应用程序组合管理
- 应用程序组合管理在网络安全中的重要性
- 建立应用程序组合清单的益处
- 应用程序组合的内容，包括业务和技术两方面
- 在灾难恢复规划中的作用
- 对组织健康运行的持续支持
-
防御性设计：面向技术人员的 GRC（治理、风险与合规）
- GRC 的定义
- 合规的重要性
- 明确政策的作用
- 主动式风险管理
- 定期的风险评估与分析
- 理解并遵守 GRC 计划
-
防御性设计：开源代码
- 开源代码的普及程度与优势
- 与开源代码相关的安全风险
- 选择安全开源代码的标准
- 安全实践不足带来的威胁
- 定期更新开源组件的重要性
- 维护软件物料清单（SBOM）
- 负责任地使用开源代码
-
防御性设计：OWASP
- OWASP 概述及其重要性
- OWASP 工具概述
-
防御性设计：面向技术人员的网络钓鱼防范
- 网络钓鱼攻击的针对性
- 商业电子邮件入侵（BEC）
- 招聘骗局——借助就业机会实施的网络钓鱼
- 基于社区的攻击——论坛、群组等
- 保持警惕的重要性
- 对通信内容进行核实并保持谨慎
- 危险信号：制造紧迫感等
-
防御性设计：面向技术人员的社会工程防范
- 有针对性的社会工程攻击
- 密码安全
- 开源情报（OSINT）风险
- 行业活动中的物理安全威胁
- 遵守组织政策
- 保持警惕并主动采取安全措施
-
防御性设计：威胁建模
- 威胁建模在降低风险中的重要性
- 威胁建模的关键组成部分
- 记录应用程序
- 识别潜在威胁并确定优先级
- 确定并实施应对措施
- 融入开发生命周期
- 持续改进与教育
-
防御性设计：用户权限与访问管理
- 管理用户权限的重要性
- 组织管理用户权限的方法
- 防止权限提升
- 最小权限与特权访问
- 保持可见性与控制力
- 合规、法规与定期审计
- 有效访问管理的影响