VIP20

本课程属于：020-设备合规实战 网络安全工程与攻防实战 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

应用安全测试工具选型与评估

📚 共计 30 章节

安全测试概述

安全测试的定义、重要性、与功能测试的区别、安全测试生命周期。

工具选型方法论

选型原则（成本、易用性、社区活跃度）、评估矩阵、POC验证流程。

方法论决策

静态应用安全测试(SAST)原理

SAST核心概念、代码审计流程、误报与漏报分析。

SAST工具对比

SonarQube vs Checkmarx vs Fortify，功能、语言支持、集成能力对比。

SAST工具实战

SonarQube安装配置、规则定制、在CI/CD流水线中集成。

动态应用安全测试(DAST)原理

DAST核心概念、黑盒测试流程、爬虫与扫描引擎。

DAST工具对比

Burp Suite vs OWASP ZAP vs Acunetix，功能、性能、报告能力对比。

DAST工具实战

OWASP ZAP自动化扫描、API安全测试、与Jenkins集成。

实战自动化

交互式应用安全测试(IAST)原理

IAST核心概念、Agent技术、运行时插桩。

IAST工具对比

Contrast Security vs HCL AppScan vs Seeker，部署模式、准确率对比。

软件组成分析(SCA)原理

SCA核心概念、依赖关系分析、许可证合规性。

SCA工具对比

Snyk vs Black Duck vs OWASP Dependency-Check，漏洞库覆盖、修复建议对比。

SCA工具实战

Snyk集成到Maven/Gradle项目、策略配置、告警管理。

容器安全扫描原理

容器镜像分层、CVE扫描、运行时安全。

容器安全工具对比

Trivy vs Clair vs Aqua Security，扫描速度、深度、K8s集成对比。

容器安全工具实战

Trivy扫描Docker镜像、生成SBOM、集成到GitLab CI。

基础设施即代码(IaC)安全

Terraform/CloudFormation安全扫描、策略即代码。

IaC安全工具对比

Checkov vs tfsec vs Terrascan，规则引擎、多云支持对比。

IaC安全工具实战

Checkov扫描Terraform模板、自定义策略、修复建议。

实战Terraform

Web应用防火墙(WAF)原理

WAF核心概念、规则引擎、OWASP Top 10防护。

WAF工具对比

ModSecurity vs Cloudflare WAF vs AWS WAF，性能、自定义规则、部署模式对比。

WAF工具实战

ModSecurity配置、自定义规则编写、日志分析。

API安全测试原理

API认证、授权、速率限制、OWASP API Top 10。

API安全测试工具对比

Postman vs Insomnia vs ReadyAPI，自动化测试、安全插件对比。

API安全测试实战

使用Postman进行API模糊测试、JWT令牌测试、集成Newman。

移动应用安全测试原理

Android/iOS安全模型、逆向工程、数据存储安全。

移动安全测试工具对比

MobSF vs Drozer vs Frida，静态分析、动态分析、Hook能力对比。

移动安全测试实战

MobSF搭建、APK静态分析、运行时注入测试。

渗透测试框架对比

Metasploit vs Cobalt Strike vs Empire，模块库、隐蔽性、团队协作对比。

安全测试工具选型总结

综合评估模型、选型决策树、未来趋势（AI驱动安全测试）。