Для кого
- Компании, которым нужно, чтобы конкретные разработчики проверяли код на безопасность до слияния.
- Команды безопасности, которые растят разработчика или младшего инженера до роли в безопасности приложений.
- Команды, которым нужно обучение безопасности в темпе каждого сотрудника и на их языках и фреймворках.
Что вы сможете делать
- Инженеры, которые прослеживают недоверенные данные в коде, похожем на ваш, и замечают ошибки аутентификации, авторизации и потоков данных.
- Находки, описанные так, как их принимают разработчики: место, первопричина, доказательство и исправление.
- Привычка проверять изменения, важные для безопасности, и изменения, созданные ИИ, до слияния.
- Обучение в темпе каждого инженера: опытный и начинающий разработчик получают то, что нужно именно им.
Что нужно до начала
- Каждый инженер соответствует требованиям выбранного курса и занимается на английском (или на арабском, если это его родной язык); первичная оценка это подтверждает.
- Контактное лицо в компании для рамок и расписания.
- Время на занятия и на задания между ними.
Как это устроено
Четыре шага. У каждого инженера свой план.
РамкиДоговариваемся, кто учится, по какому курсу и с какой целью.
- Какие инженеры и какой курс: аудит безопасности кода или пентест веб-приложений и API
- Языки и фреймворки вашей команды
- Цели для каждого инженера
- Язык занятий и расписание
Первичная оценкаОпределяем стартовую точку каждого инженера.
- Короткое практическое задание
- План для каждого инженера: порядок, глубина и темп
- Согласуется до начала обучения
Индивидуальные занятияКаждый инженер занимается со мной отдельно.
- Живые онлайн-занятия по программе курса
- Лабораторные и задания между занятиями под его уровень
- Примеры на языках вашей команды, где это возможно
- Разбор прогресса на каждом занятии
Итоговая проверкаКаждый инженер показывает, что умеет самостоятельно.
- Самостоятельный аудит приложения, созданного для курса
- Отчёт о находках, который мы разбираем вместе
- Сертификат о прохождении при успешной проверке
Практика
Лабораторные, подготовленные для курса
Приложения и задания с задокументированными уязвимостями, которые я подготовил; всё работает на компьютере инженера.
Языки вашей команды
Где позволяет программа, примеры и задания используют языки и фреймворки, с которыми работают ваши инженеры.
Личная проверка
Я проверяю задания и итоговый отчёт каждого инженера и разбираю их на занятиях.
Итоговая проверка
Итоговая проверка для каждого инженера
Каждый инженер самостоятельно проводит аудит приложения, созданного для курса, и пишет отчёт о находках, который я разбираю с ним.
Критерии оценки
- Подтверждённые находки с доказательствами
- Верная первопричина
- Обоснованная критичность
- Исправления, устраняющие причину
Чем отличается этот курс
Один инженер — один преподаватель
Каждый инженер занимается со мной отдельно и по своему расписанию.
Свой темп для каждого
Опытный инженер и новый сотрудник идут по разным планам, построенным на одной программе.
На английском или на арабском
Занятия проходят на английском, а для носителей арабского — по желанию на арабском. Это удобно для смешанных команд.
Инструменты
Стандарты и источники
- OWASP Code Review Guide
- OWASP Application Security Verification Standard (ASVS)
- NIST SP 800-218, Secure Software Development Framework
- OWASP Cheat Sheet Series
Разборы, которые можно прочитать уже сейчас
- Аудит безопасности кода или пентест: что заказать?
- Взлом axios в npm: как порвалась цепочка доверия
- fast-jwt: путаница алгоритмов JWT исправлена на третий раз
Вопросы о курсе
Помогает ли это с требованиями NCA в Саудовской Аравии?
Шаблон стандарта безопасной разработки Национального управления кибербезопасности Саудовской Аравии (NCA) включает обучение разработчиков безопасному программированию. Индивидуальное обучение ваших разработчиков поддерживает эту практику. Это не аудит и не сертификация; как это оформить, решает ваша служба комплаенса.
Можно ли обучить нескольких инженеров?
Да. Каждый инженер обучается индивидуально, по своему плану и расписанию. Несколько инженеров можно включить в одно соглашение с компанией.
Можно ли использовать в заданиях наш код?
Обучение строится на лабораторных, которые я готовлю для курса. Если вы хотите примеры из вашего кода, скажите — такие вещи обсуждаются и согласуются письменно заранее.
Есть ли очные занятия?
Нет. Всё обучение проходит онлайн.
Как формируется стоимость?
Стоимость — 95 000 ₽ за одного инженера на один курс. Несколько инженеров можно включить в одно соглашение; всё фиксируется в письменном предложении до начала обучения.
Дальше
Инженеры, прошедшие один курс, могут продолжить вторым.