معظم الاختراقات النهاردة مبتبدأش بكسر جدار حماية - بتبدأ من تطبيق: فورم دخول بيوثق في مدخلات المستخدم أكتر من اللازم، أو API بيسرّب أكتر من اللازم، أو تطبيق موبايل بيخزّن بيانات في المكان الغلط. دورة تأمين تطبيقات البرمجيات الاحترافية، من أكاديمية الزمالة العربية البريطانية، مبنية على الواقع ده، وبتتعامل مع التطبيق نفسه كخط الدفاع الأول.

المشاركون هيشتغلوا على كتابة الشيفرة الآمنة وقائمة OWASP Top 10 واختبارات عملية بأدوات زي Burp Suite وOWASP ZAP، وبعدين هيوسعوا نفس المنهج على تطبيقات الويب والموبايل والسحابة. الدورة بتختم بـDevSecOps ونموذج Zero Trust، عشان المشارك يخرج قادر يبني الأمان جوه دورة التطوير نفسها مش يضيفه بعد ما التطبيق يخلص.

الفئة المستهدفة

• مطورو ومهندسو التطبيقات والمتخصصون الأمنيون المسؤولون عن أمان تطبيقات البرمجيات.
• أعضاء فرق DevSecOps اللي بيدمجوا ممارسات الأمان في دورة حياة تطوير البرمجيات.
• مختبرو الاختراق والقراصنة الأخلاقيون ومحللو الأمان المتخصصون في ثغرات التطبيقات.

أهداف البرنامج

بنهاية البرنامج، هيكون المشارك قادر على:

• تطبيق ممارسات كتابة شيفرة آمنة لمنع ثغرات شائعة زي حقن SQL والبرمجة عبر المواقع.
• تحديد وتخفيف المخاطر الأمنية في تطبيقات الويب والموبايل والسحابة.
• استخدام أدوات وتقنيات اختبار الأمان - DAST وSAST واختبار الاختراق - لاكتشاف الثغرات قبل المهاجمين.
• دمج الأمان في دورة حياة التطوير عن طريق DevSecOps والأتمتة.
• تطبيق نموذج Zero Trust للتحكم في الوصول داخل بيئات التطبيقات.

• المحور الأول: ليه التطبيقات هي خط الدفاع الأول

  • المبادئ الأساسية لأمان التطبيقات واتجاهات التهديدات الحالية.
  • كيف يتم دمج الأمان في كل مرحلة من دورة حياة تطوير البرمجيات (SDLC).
  • ثغرات OWASP Top 10 ونماذج التهديدات لأنواع التطبيقات المختلفة.

• المحور الثاني: كتابة الشيفرة الآمنة والتحقق منها

  • أفضل ممارسات كتابة الشيفرة الآمنة، بما فيها منع حقن SQL والبرمجة عبر المواقع (XSS).
  • التحقق من المدخلات وترميز المخرجات لمنع هجمات الحقن وتسريبات البيانات.
  • المصادقة والتفويض الآمن: إدارة الجلسات، OAuth/OpenID، والتحكم في الوصول بناءً على الأدوار (RBAC).

• المحور الثالث: تأمين تطبيقات الويب

  • الثغرات الشائعة في الويب وطرق الدفاع ضد CSRF وXSS وهجمات الويب الأخرى.
  • ممارسات تطوير ويب آمنة: HTTPS وCSP وHSTS وإدارة الكوكيز والجلسات بأمان.
  • تكوين جدران حماية تطبيقات الويب (WAF) ودمجها في عملية اختبار الأمان.

• المحور الرابع: تأمين تطبيقات الموبايل

  • المخاطر الأمنية الخاصة بـ iOS وAndroid، وتقنيات اختبار اختراق تطبيقات الموبايل.
  • ممارسات كتابة شيفرة آمنة وتشفير بيانات لتطبيقات الموبايل وواجهاتها البرمجية.
  • إدارة الأجهزة المحمولة (MDM) وعزل التطبيقات والامتثال لإرشادات أمان متاجر التطبيقات.

• المحور الخامس: اختبار التطبيقات بعقلية المهاجم

  • اختبار الأمان الديناميكي (DAST) مقابل الثابت (SAST)، وتقنيات الاختبار اليدوي.
  • اختبار الاختراق بأدوات زي Burp Suite وOWASP ZAP وNmap، وتوثيق وإصلاح النتائج.
  • نمذجة التهديدات وترتيب أولويات الجهود الأمنية حسب المخاطر.

• المحور السادس: تأمين التطبيقات في السحابة

  • التحديات الأمنية الخاصة بتطبيقات السحابة ونموذج المسؤولية المشتركة.
  • إدارة الهوية والوصول (IAM) وتشفير البيانات وواجهات البرمجة للتطبيقات السحابية.
  • أطر أمان السحابة (CSA Cloud Control Matrix) وأدوات زي AWS Security Hub وAzure Security Center.

• المحور السابع: Zero Trust وDevSecOps وما القادم

  • مبادئ نموذج Zero Trust وكيفية تطبيقه في التحكم بالوصول للتطبيقات.
  • دمج الأمان في خطوط أنابيب DevOps (DevSecOps) وCI/CD لحماية مستمرة.
  • تأثير تكنولوجيا البلوكتشين على أمان التطبيقات، بما فيها العقود الذكية والتطبيقات اللامركزية (dApps).