SAST with CodeQL & Semgrep

برنا نعمت‌زاده

پیشرفته
مسیر قرمز
۲ درس

مهلت ثبت نام:

: :

۳,۹۰۰,۰۰۰ تومان

ثبت نام سازمانی این دوره

تاریخ شروع

۱۴ دی ۱۴۰۲

طول دوره

۱۸ ساعت

گواهی‌نامه و آزمون

دارد

ظرفیت

۲۸ نفر باقی مانده

نوع برگزاری

حضوری

درباره‌ی این دوره

ابزارهای SAST (Static Application Security Testing)، ابزارهایی هستند که برای تحلیل امنیتی برنامه‌های نرم‌افزاری در مرحله‌ی کدنویسی استفاده می‌شوند. این ابزارها با تحلیل کدها و فایل‌های منبع برنامه، به‌دنبال آسیب‌پذیری‌های امنیتی، مانند نقاط ضعف در حفاظت از داده‌ها، تزریق کدها، سوءاستفاده از توابع خطرناک و غیره می‌گردند. این ابزارها عموماً از تکنیک‌های آنالیز استاتیک کدها، مانند پویش ساختار برنامه، تجزیه‌وتحلیل جریان کنترل، تجزیه‌وتحلیل معنایی و ... استفاده می‌کنند. با استفاده از این ابزارها، توسعه‌دهندگان می‌توانند آسیب‌پذیری‌های امنیتی را در مرحله‌ی زودهنگام شناسایی کرده و آن‌ها را قبل از انتشار برنامه رفع کنند. در نهایت، ابزارهای SAST به توسعه‌دهندگان و متخصصان امنیت در روند توسعه‌ی امن نرم‌افزار کمک شایانی می‌کنند. در این دوره سعی داریم تا با دو ابزار قدرتمند semgrep و codeql، روند تحلیل استاتیک اپلیکیشن‌های مختلف را بررسی کنیم و همچنین، یاد می‌گیریم تا رول‌ها و Queryهای شخصی‌سازی‌شده‌ی خود را، نسبت به حمله‌های جدید و آسیب‌پذیری‌های مختلف بنویسیم. این دوره‌ی آموزشی، به مدت دو روز، ۱۴ و ۱۵ دی، در روزهای پنجشنبه و جمعه، از ساعت ۱۰:۰۰ تا ۱۹:۰۰ برگزار می‌شود.

این دوره به چه افرادی توصیه می‌شود؟

برنامه‌نویسان
کارشناسان امنیت
متخصصان DevOps

برای حضور در این دوره چه دانش‌هایی باید داشته باشم؟

آشنایی با یک زبان برنامه‌نویسی
آشنایی با حمله‌های رایج وب

سرفصل‌های دوره

Semgrep
- Semgrep CLI
  - Semgrep Setup
  - Running Rules
  - Ignoring Files, Folders and Code
- Semgrep Patterns
  - Exact Match
  - The Ellipsis Operator
  - Metavariables
- Semgrep Rules
  - Pattern Composition
  - Logic Operators
  - pattern-not
  - pattern-inside
  - Advanced Features
  - Regex in patterns
  - metavariable-comparison
  - metavariable-comparison
  - Autofix
  - Data Flow Analysis
  - Generic Pattern Matching
  - Experiments
- Writing Custom Rules
CodeQL
- CodeQL Overview
  - CodeQL Analysis
  - Evaluation of QL programs
- CodeQL CLI
- Writing CodeQL Queries & QL Language