برنامج تدريبي متقدم في اختبار اختراق تطبيقات الويب (أونلاين / عن بعد)
1نظرة عامة
ثغرة حقن واحدة غير مُصلحة ممكن تدّي المهاجم وصول كامل لقاعدة بيانات، أو قائمة عملاء، أو نظام خلفي كامل - وغالبًا من خلال تطبيق ويب محدش فكر يختبره باهتمام. ومع تحول التطبيقات إلى الواجهة الأساسية للاتصال والتجارة والتعاون، الفجوة بين اللي المطورين بيطلقوه واللي المهاجمين قادرين يستغلوه بتكبر باستمرار.
دورة اختبار أمان تطبيقات الويب المتقدم من أكاديمية الزمالة العربية البريطانية بتسد الفجوة دي، وبتزوّد المتخصصين في الأمن والمطورين بمهارات اختبار عملية عشان يكتشفوا الثغرات قبل ما المهاجمين يستغلوها، وبيبنوا تطبيقات تقدر تصمد قدام هجمات حقيقية.
2الأهداف والفئة المستهدفة
الفئة المستهدفة
- المتخصصون في مجال الأمن السيبراني.
- مطورو الويب.
- الباحثون الأمنيون.
- متخصصو تكنولوجيا المعلومات.
- مسؤولو الامتثال والمدققون.
- المخترقون الأخلاقيون.
- الطلاب والباحثون الراغبون في توسيع معرفتهم في مجال أمن تطبيقات الويب.
أهداف البرنامج
في نهاية البرنامج التدريبي سوف يتمكن المشاركون من:
- إجراء تقييمات شاملة لنقاط الضعف واختبارات اختراق لتطبيقات الويب، باستخدام أساليب يدوية وآلية.
- تحديد وتقييم وتخفيف التهديدات الأمنية المعقدة ونواقل الهجوم التي تستهدف تطبيقات الويب الحديثة.
- تطبيق ممارسات الترميز الآمن ودمج الأمن في كل مرحلة من دورة حياة تطوير البرمجيات.
- فهم لوائح الصناعة ومعايير الامتثال المتعلقة بأمن تطبيقات الويب.
- تطبيق مبادئ القرصنة الأخلاقية والإفصاح المسؤول عند الإبلاغ عن الثغرات.
3محتوى البرنامج
- ليه اختبار أمان تطبيقات الويب مهم
- نظرة عامة على المشهد الأمني لتطبيقات الويب ونواقل الهجوم الشائعة.
- هندسة تطبيقات الويب: المخاوف الأمنية من جهة العميل والخادم.
- دور اختبار الأمان طوال دورة حياة تطوير البرمجيات.
- منهجية اختبار الاختراق: من الاستطلاع إلى الاستغلال
- تقنيات الاستطلاع وجمع المعلومات.
- تقييم نقاط الضعف والاستغلال وتقنيات ما بعد الاختراق.
- اعتبارات أمان واجهات برمجة التطبيقات أثناء اختبار الاختراق.
- هجمات الحقن المتقدمة بالتفصيل
- حقن SQL وحقن NoSQL.
- البرمجة النصية عبر المواقع (XSS) وحقن الأوامر.
- اختراق وتأمين المصادقة والترخيص والجلسات
- آليات المصادقة وأفضل الممارسات واختبار المصادقة متعددة العوامل (MFA).
- نقاط الضعف في التفويض وتقنيات التجاوز.
- تثبيت الجلسة واختطافها، وأمان رمز الجلسة، وإدارة مهلة الجلسة.
- تأمين واجهات برمجة التطبيقات وخدمات الويب
- اختبار أمان RESTful API وSOAP.
- هجمات الكيان الخارجي XML (XXE).
- جدران حماية تطبيقات الويب: التجاوز والدفاع
- فهم تقنيات WAF وأفضل ممارسات إعدادها.
- تقنيات التجاوز والتهرب المستخدمة ضد WAF.
- الأدوات والأطر والتكامل مع CI/CD
- أدوات اختبار الأمان الشائعة مثل Burp Suite وOWASP ZAP وNmap.
- طرق الاختبار الآلي مقابل اليدوي.
- دمج اختبار الأمان في أنظمة CI/CD.
- التشفير الآمن كاستراتيجية وقائية
- مبادئ التشفير الآمن وتقنيات مراجعة الكود للأمان.
- ثغرات التشفير الشائعة مثل إلغاء التسلسل غير الآمن والتعامل غير السليم مع الأخطاء.
- إعداد التقارير والمعالجة والإفصاح المسؤول
- التواصل الفعال للنتائج وتحديد أولويات نقاط الضعف.
- استراتيجيات العلاج وأفضل الممارسات.
- الأطر القانونية (مثل GDPR وCCPA)، ومبادئ القرصنة الأخلاقية، وسياسات الإفصاح المسؤول.