适合人群

希望特定开发人员在代码合并前进行安全审查的公司。
希望把开发人员或初级工程师培养成应用安全岗位人才的安全团队。
希望开发人员安全培训能按每个人的节奏进行、并围绕团队自身语言和框架展开的团队。

学完后您能做到

工程师能够在与贵公司类似的代码库中追踪不可信输入，发现身份认证、授权和数据流方面的缺陷。
按照开发人员愿意接受的方式撰写发现：位置、根本原因、证据和修复方案。
养成在合并前审查安全相关变更和 AI 生成代码的习惯。
培训按每位工程师的节奏进行，高级开发人员和初级开发人员都能各取所需。

先修要求

每位工程师都满足所选课程的先修要求，并能够以英语学习（母语为阿拉伯语者也可使用阿拉伯语）；初始评估会对此进行确认。
贵公司指定一位负责范围和日程安排的联系人。
为课程以及课间练习预留时间。

合作流程

四个步骤。每位工程师都有自己的学习计划。

01确定范围商定培训哪些人、学习哪门课程、达到什么目标。
- 哪些工程师、哪门课程：安全代码审计，或 Web 与 API 渗透测试
- 您团队使用的语言和框架
- 每位工程师的目标
- 授课语言和日程安排
02初始评估确定每位工程师的起点。
- 一次简短的实操评估
- 为每位工程师制定计划：顺序、深度和进度
- 在培训开始前确认
03一对一课程每位工程师都单独与我一起学习。
- 按照课程大纲进行的在线直播课程
- 课间根据其水平布置的实验和练习
- 尽可能使用您团队所用语言的示例
- 每次课程都回顾学习进展
04结业考核每位工程师独立展示自己的能力。
- 独立审计一个为课程开发的应用
- 一份我们一起复盘的漏洞发现报告
- 考核通过后颁发结业证书

实操练习

为课程准备的实验

由我准备的应用和练习，包含有文档记录的缺陷，在每位工程师自己的电脑上运行。

使用您团队的语言

在课程允许的范围内，示例和练习会使用您的工程师日常使用的语言和框架。

亲自批改

我会批改每位工程师的练习和最终报告，并在课上与他们一起讨论。

结业考核

每位工程师的结业考核

每位工程师独立审计一个为课程开发的应用，并撰写一份漏洞发现报告，再由我与其一起复盘。

考核标准

附证据的已确认发现
正确的根本原因
合理的风险等级论证
能够消除根因的修复

这门课程的不同之处

一位工程师，一位讲师

每位工程师都单独与我学习，按照自己的日程安排。

按人定制进度

资深工程师和新入职员工会基于同一份大纲，遵循各自不同的学习计划。

英语授课，也可选阿拉伯语

每位工程师以英语授课，母语为阿拉伯语者也可选择阿拉伯语，适合国际化团队。

使用的工具

ripgrep
VS Code
git
Semgrep
CodeQL
Docker
Burp Suite Community / Caido

标准与参考资料

现在就能阅读的案例

关于本课程的问题

这对满足沙特阿拉伯 NCA 的要求有帮助吗？

沙特国家网络安全局（NCA）的安全编码标准模板中包含对软件开发人员的安全编码培训。为您的开发人员提供个人培训可以支持这一实践。但它不是审计，也不是认证，如何记录由您的合规团队决定。

可以同时培训多名工程师吗？

可以。每位工程师都接受个人培训，拥有自己的计划和日程。多名工程师可以通过与贵公司签订的一份协议来覆盖。

练习可以使用我们自己的代码吗？

培训使用我为课程准备的实验。如果您希望使用自己代码中的示例，请告诉我；这类事项都会事先沟通并以书面形式约定。

有线下培训吗？

没有。所有培训都在线上进行。

如何定价？

每位工程师学习一门课程的费用为 1,890 美元。多名工程师可以通过一份协议覆盖，并在培训开始前以书面方案形式确定。

下一步

完成一门课程的工程师可以继续学习另一门课程。

面向工程师的一对一安全代码审计培训