تدريب فردي لمهندسي شركتك على مراجعة الكود الأمني

لمن هذه الدورة

• الشركات التي تريد أن يراجع مطوّرون محددون الكود أمنيًا قبل دمجه.
• فرق الأمن التي تريد تأهيل مطوّر أو مهندس مبتدئ لدور في أمن التطبيقات.
• الفرق التي تريد تدريبًا أمنيًا للمطورين يناسب إيقاع كل شخص ويُبنى على لغاتهم وأُطر عملهم.

ما الذي ستتمكن من فعله

• مهندسون قادرون على تتبّع المدخلات غير الموثوقة في كود يشبه كودكم، ورصد ثغرات المصادقة والصلاحيات وتدفق البيانات.
• ثغرات مكتوبة بالطريقة التي يقبلها المطورون: الموضع والسبب الجذري والدليل والإصلاح.
• عادة مراجعة التغييرات ذات الأثر الأمني والتغييرات المولَّدة بالذكاء الاصطناعي قبل الدمج.
• تدريب بإيقاع كل مهندس، فيحصل المطوّر الخبير والمبتدئ كلٌّ على ما يحتاج إليه.

قبل أن تبدأ

• أن يستوفي كل مهندس متطلبات الدورة المختارة، ويؤكد التقييم الأولي ذلك.
• جهة اتصال في شركتكم للنطاق والجدولة.
• وقت مخصص للجلسات وللتمارين بينها.

كيف يسير التدريب

أربع خطوات، ولكل مهندس خطته.

1. 01تحديد النطاقنتفق على من يتدرب، وفي أي دورة، ونحو أي هدف.

   • المهندسون المعنيون والدورة: مراجعة الكود الأمني أو اختبار اختراق الويب وواجهات API
   • اللغات وأُطر العمل التي يستخدمها فريقكم
   • أهداف كل مهندس
   • لغة التدريب والجدولة
2. 02التقييم الأولينحدد نقطة بداية كل مهندس.

   • تقييم عملي قصير
   • خطة لكل مهندس: الترتيب والعمق والإيقاع
   • نتفق عليها قبل بدء التدريب
3. 03الجلسات الفرديةيعمل كل مهندس معي بشكل فردي.

   • جلسات مباشرة عبر الإنترنت تتبع منهج الدورة
   • مختبرات وتمارين بين الجلسات تناسب مستواه
   • أمثلة بلغات فريقكم حيثما أمكن
   • مراجعة التقدّم في كل جلسة
4. 04التقييم النهائييُظهر كل مهندس ما يستطيع فعله وحده.

   • مراجعة مستقلة لتطبيق بُني للدورة
   • تقرير ثغرات نراجعه معًا
   • شهادة إتمام عند الاجتياز

العمل التطبيقي

التقييم النهائي

تقييم نهائي لكل مهندس

يراجع كل مهندس وحده تطبيقًا بُني للدورة ويكتب تقرير ثغرات، ثم أراجعه معه.

معايير التقييم

• ثغرات مؤكدة مع الدليل
• سبب جذري صحيح
• تقدير سليم للخطورة
• إصلاحات تُغلق السبب

ما الذي يميّز هذه الدورة

الأدوات المستخدمة

• ripgrep
• VS Code
• git
• Semgrep
• CodeQL
• Docker
• Burp Suite Community / Caido

المعايير والمراجع

• OWASP Code Review Guide
• OWASP Application Security Verification Standard (ASVS)
• NIST SP 800-218, Secure Software Development Framework
• OWASP Cheat Sheet Series

حالات دراسية يمكنك قراءتها الآن

• مراجعة أمان الشيفرة أم اختبار اختراق: أيهما يحتاج إليه منتجك؟
• اختراق axios على npm: كيف انكسرت سلسلة الثقة
• fast-jwt: خلط خوارزميات JWT أُصلح من المحاولة الثالثة

أسئلة عن هذه الدورة

الخطوة التالية

يمكن للمهندسين الذين ينهون دورة أن يتابعوا بالأخرى.

• دورة مراجعة الكود الأمني بتدريب فردي
• دورة اختبار اختراق تطبيقات الويب بتدريب فردي