01
安全开发生命周期概述
什么是安全开发流程(SDL)、为什么需要SDL、SDL的核心原则与价值。
SDL基础
02
SDL vs DevSecOps
传统SDL模型介绍、DevSecOps理念、两者对比与融合策略。
DevSecOps对比
03
安全需求分析
威胁建模入门、STRIDE模型详解、如何编写安全需求文档。
威胁建模STRIDE
04
安全设计原则
最小权限原则、纵深防御、默认安全、失败安全、最小攻击面。
设计纵深防御
05
安全架构评审
架构评审流程、数据流图(DFD)绘制、信任边界识别。
架构DFD
06
安全编码规范
OWASP Top 10简介、输入验证与输出编码、安全编码检查清单。
编码OWASP
07
静态应用安全测试(SAST)
SAST工具原理、SonarQube配置与使用、误报处理策略。
SASTSonarQube
08
软件组成分析(SCA)
开源组件风险、SCA工具选型、依赖漏洞修复流程。
SCA开源
09
动态应用安全测试(DAST)
DAST工具原理、OWASP ZAP实战、爬虫与扫描策略。
DASTZAP
10
交互式应用安全测试(IAST)
IAST工作原理、IAST与SAST/DAST对比、部署模式。
IAST插桩
11
API安全测试
API认证与授权测试、速率限制测试、API模糊测试。
API模糊测试
12
安全代码审查
人工审查与自动化审查结合、审查清单制定、常见代码漏洞模式。
审查清单
13
密钥与凭证管理
硬编码密码风险、Vault/Key Management Service使用、环境变量管理。
密钥Vault
14
安全配置管理
默认配置风险、配置基线制定、配置漂移检测。
配置基线
15
日志与监控安全
安全日志规范、日志注入防护、SIEM集成要点。
日志SIEM
16
身份认证与会话管理
多因素认证(MFA)设计、会话固定防护、Token安全存储。
MFA会话
17
访问控制模型
RBAC、ABAC、PBAC模型对比、权限提升漏洞防范。
RBACABAC
18
数据安全与隐私保护
数据分类分级、加密算法选择(AES/RSA)、数据脱敏技术。
加密脱敏
19
安全测试环境搭建
隔离测试环境设计、测试数据脱敏、安全测试工具链集成。
环境集成
20
CI/CD安全集成
Pipeline安全门禁、制品签名验证、基础设施即代码(IaC)安全扫描。
CI/CDIaC
21
容器安全
镜像安全扫描、Dockerfile最佳实践、Kubernetes安全策略。
容器K8s
22
云安全基础
共享责任模型、云安全配置检查(CSPM)、云工作负载保护(CWPP)。
云安全CSPM
23
安全事件响应计划
事件分级、响应流程(SANS PICERL)、演练与复盘。
响应PICERL
24
漏洞管理流程
漏洞发现、评估、修复、验证闭环，CVSS评分应用。
漏洞CVSS
25
安全培训与意识
开发者安全培训计划、钓鱼模拟、安全文化建设。
培训钓鱼
26
第三方安全评估
供应商安全问卷、渗透测试管理、SLA安全条款。
第三方渗透
27
合规与审计
GDPR/PCI-DSS等合规要求、审计证据收集、合规自动化。
合规GDPR
28
安全度量与KPI
漏洞修复时间(MTTR)、漏洞密度、安全覆盖率度量。
度量KPI
29
安全工具链整合
工具选型矩阵、API集成、统一安全仪表板设计。
工具链仪表板
30
持续改进与未来趋势
安全流程成熟度模型、AI安全、供应链安全展望。
成熟度AI