供应链安全应该掌握哪些呢

整理了供应链安全相关的内容，涵盖了普及应用安全、信息安全意识的内容，这些内容可以面向企业全部员工进行讲解。后面包括了面向开发人员、测试人员、安全人员的内容，包括应用安全开发、供应链安全。面向架构人员的架构安全内容，后面又包括了威胁建模方法及流程。面向开发人员的安全设计、代码检测/审计、编码规范、运行时缺陷和安全漏洞等讲解。Java典型安全漏洞和应用业务逻辑漏洞实例讲解，后面包括了开源治理内容等等。

编号

课程名称

主要内容

面向对象

时长（50分钟/课时）

1

应用安全意识培训

普及应用安全知识，包括安全、bug、缺陷、漏洞的理解。微软的SRIDE威胁模型介绍、安全设计原则、CWE、OWASP的认识等

企业全员，侧重开发相关人员

4

2

信息安全意识培训

普及信息安全知识、包括安全因素、供应链安全多个案例介绍、黑产产业链、员工应该知道并掌握的安全知识

企业全员

4

3

应用安全开发培训

开发安全介绍、安全开发的必要性、安全设计的重要性、开发安全体系和模型、微软的SDL级威胁建模、BSIMM、SMM等、SDL案例等

开发人员、测试人员、安全人员等

4

4

软件供应链安全培训

供应链攻击事件回顾、供应链攻击类型、供应链安全面临的挑战、供应链安全政策与法规、安全供应链安全治理痛点、供应链安全治理框架和体系、供应链安全相关的模型、认识SBOM、开源治理、DevSecOps中的供应链安全等、云原生安全等。

开发人员、测试人员、安全人员等

4

5

威胁建模方法及流程培训

威胁建模简介、介绍威胁建模方法和流程，风险评价模型DREAD、威胁分类模型CAPEC、威胁建模案例分享、借助自动化威胁建模工具最佳实践等

开发负责人、安全负责人、架构负责人等

6

6

安全设计培训

包括安全编码、输入安全验证、输出安全编码、访问控制要求、身份验证安全、数据安全、日志和错误处理安全、框架安全、开源组件安全等

开发人员、测试人员、安全人员等

6

7

安全开发培训

安全开发的理解、DevsecOps体系平台支撑、典型安全漏洞、开源组件及工具

开发人员、测试人员、安全人员等

4

8

常见Java编码规范培训

介绍17条最常见的java编码规范中17条规则，另外介绍如何制定编码以及编码规范如何落地，做到与规范符合性

开发人员

4

9

C/C++常见运行时缺陷培训

介绍5种常见的运行时缺陷，包括缓冲区溢出、缓冲区溢出攻击、格式化字符串攻击、整数溢出竞争条件

开发人员、代码审计人员、安全测试人员等

4

10

Java常见安全漏洞培训（详细）

包括命令行注入、SQL注入、XSS、路径遍历、失效的身份验证、弱密码、弱Hash、弱随机值、Cookie安全、不安全的序列化、XXE、HTTP响应拆分、输入验证、XPATH注入、URL重定向、CSRF、SSI注入、OGNL注入、XSLT代码执行、表达式注入、任意文件上传、任意文件读取、任意文件写入、文件包含、SSRF服务端请求伪造等

开发人员、测试人员、安全人员等

18

11

应用系统业务逻辑漏洞培训

包括短信轰炸、验证码失效、登录撞库、静态密码重放、批量注册、访问控制，包括未授权访问、水平越权和垂直越权、支付漏洞、密码找回漏洞、数据安全等

开发人员、测试人员、安全人员等

12

12

软件供应链安全培训

先介绍一些供应链安全事件、供应链安全解决方案、软件引入安全审查、DevSecOps平台介绍

开发、测试、安全

4

13

开源治理培训

介绍开源治理的背景、开源治理方案、项目实践分享、同业参考等

开发、测试、安全、架构

4

14

开源许可证培训

介绍许可证定义、分类、许可证构成解读、许可证兼容性、许可证冲突规避方法等

开发、测试、安全、架构

4

15

云原生场景的DevSecOps实践

介绍云原生的背景、云原生安全、安全解决方案等

开发、测试、安全、架构

2

课件截图：

（结束）