Für wen
- Unternehmen, die möchten, dass bestimmte Entwickler Code vor dem Merge auf Sicherheit prüfen.
- Sicherheitsteams, die Entwickler oder Einsteiger in eine Rolle in der Anwendungssicherheit bringen wollen.
- Teams, die eine Sicherheitsschulung im Tempo jeder Person und in den eigenen Sprachen und Frameworks suchen.
Was Sie danach können
- Entwickler, die nicht vertrauenswürdige Eingaben durch eine Codebasis wie Ihre verfolgen und Fehler in Authentifizierung, Autorisierung und Datenfluss erkennen.
- Befunde so beschrieben, wie Entwickler sie übernehmen: Stelle, Ursache, Nachweis und Korrektur.
- Die Gewohnheit, sicherheitsrelevante und KI-generierte Änderungen vor dem Merge zu prüfen.
- Training im Tempo jeder Person, sodass erfahrene und neue Entwickler jeweils bekommen, was sie brauchen.
Voraussetzungen
- Jede Person erfüllt die Voraussetzungen des gewählten Kurses und lernt auf Englisch (oder auf Arabisch als Muttersprache); die erste Einstufung bestätigt es.
- Eine Ansprechperson im Unternehmen für Umfang und Terminplanung.
- Eingeplante Zeit für die Sitzungen und die Übungen dazwischen.
So funktioniert es
Vier Schritte. Jede Person folgt ihrem eigenen Plan.
UmfangWir klären, wer in welchem Kurs mit welchem Ziel lernt.
- Welche Personen und welcher Kurs: Secure Code Review oder Pentests für Webanwendungen und APIs
- Die Sprachen und Frameworks Ihres Teams
- Ziele für jede Person
- Unterrichtssprache und Terminplanung
Erste EinstufungWir bestimmen den Ausgangspunkt jeder Person.
- Eine kurze praktische Einstufung
- Ein Plan für jede Person: Reihenfolge, Tiefe und Tempo
- Vereinbart vor Beginn des Trainings
EinzelsitzungenJede Person arbeitet einzeln mit mir.
- Live-Sitzungen online nach dem Lehrplan des Kurses
- Labore und Übungen zwischen den Sitzungen, passend zum Stand
- Beispiele in den Sprachen Ihres Teams, wo möglich
- Fortschritt in jeder Sitzung besprochen
AbschlussprüfungJede Person zeigt, was sie allein kann.
- Ein eigenständiges Review einer für den Kurs gebauten Anwendung
- Ein Befundbericht, den wir gemeinsam besprechen
- Eine Teilnahmebescheinigung nach bestandener Prüfung
Praxis
Für den Kurs vorbereitete Labore
Anwendungen und Übungen mit dokumentierten Schwachstellen, die ich vorbereitet habe und die auf dem Rechner der jeweiligen Person laufen.
Die Sprachen Ihres Teams
Wo der Lehrplan es zulässt, nutzen Beispiele und Übungen die Sprachen und Frameworks, mit denen Ihre Entwickler arbeiten.
Persönliche Prüfung
Ich prüfe die Übungen und den Abschlussbericht jeder Person und bespreche sie in unseren Sitzungen.
Abschlussprüfung
Abschlussprüfung für jede Person
Jede Person prüft eigenständig eine für den Kurs gebaute Anwendung und schreibt einen Befundbericht, den ich mit ihr bespreche.
Bewertungskriterien
- Bestätigte Befunde mit Nachweis
- Richtige Ursache
- Begründete Schwere
- Korrekturen, die die Ursache beheben
Was diesen Kurs unterscheidet
Eine Person, ein Trainer
Jede Person arbeitet einzeln mit mir, nach ihrem eigenen Zeitplan.
Tempo pro Person
Erfahrene Entwickler und neue Mitarbeitende folgen unterschiedlichen Plänen auf Basis desselben Lehrplans.
Englisch oder Arabisch
Unterrichtet wird auf Englisch, für arabische Muttersprachler auf Wunsch auf Arabisch. Das passt zu gemischten Teams.
Werkzeuge
Standards und Quellen
- OWASP Code Review Guide
- OWASP Application Security Verification Standard (ASVS)
- NIST SP 800-218, Secure Software Development Framework
- OWASP Cheat Sheet Series
Fallstudien zum Lesen
- Security Code-Review oder Pentest: Was braucht Ihr Produkt?
- Axios npm-Kompromittierung: Wie die Vertrauenskette brach
- fast-jwt-Algorithmenverwechslung: beim dritten Mal behoben
Fragen zu diesem Kurs
Hilft das bei den NCA-Anforderungen in Saudi-Arabien?
Die Vorlage des Secure-Coding-Standards der saudischen National Cybersecurity Authority (NCA) sieht Schulungen in sicherer Programmierung für Softwareentwickler vor. Einzeltraining Ihrer Entwickler unterstützt diese Praxis. Es ist weder ein Audit noch eine Zertifizierung; wie es dokumentiert wird, entscheidet Ihr Compliance-Team.
Können mehrere Personen geschult werden?
Ja. Jede Person wird einzeln geschult, mit eigenem Plan und Zeitplan. Mehrere Personen können in einer Vereinbarung mit Ihrem Unternehmen zusammengefasst werden.
Können die Übungen unseren eigenen Code nutzen?
Das Training nutzt Labore, die ich für den Kurs vorbereite. Wenn Sie Beispiele aus Ihrem eigenen Code wünschen, sagen Sie es mir; so etwas wird vorab besprochen und schriftlich vereinbart.
Gibt es Präsenztermine?
Nein. Das gesamte Training findet online statt.
Wie wird der Preis bestimmt?
$1,890 pro Person und Kurs. Mehrere Personen können in einer Vereinbarung zusammengefasst werden, die vor Beginn schriftlich festgehalten wird.
Wie es weitergeht
Wer einen Kurs abgeschlossen hat, kann mit dem anderen weitermachen.