Application Security и secure coding: OWASP, auth, API и проверка уязвимостейШаг 11 из 15 · 0% пройдено

1. Как учиться на этом курсе

Карта пониманияopen8м Что рисовать и фиксироватьopen8м Ритм практики и повторенияopen8м Проверка учебного маршрутаopen10м

2. Профессиональный практикум: проект, качество и портфолио

От требования к тестуopen14м Архитектура вместо набора синтаксиса14м

3. Атлас программных моделей: данные, архитектура, API и тесты

Поток данных и состояниеopen15м API и база данных16м Качество: тест, review, refactor, release14м

4. Threat model и доступ

Broken access controlopen11м Threat modeling для user flowopen12м Практика: доступopen14м

5. Input, secrets и security tests

Input validation и output encodingopen10м Security checks в CIopen11м Практика: secure codingopen13м

Threat model и доступ

Threat modeling для user flow

Шаг 11 из 1512 минТеория

Цель

Понять основной механизм темы «Threat modeling для user flow» без заучивания отдельных терминов.

Как работать

Прочитайте блок один раз целиком, затем вернитесь к схеме или примеру и перескажите идею своими словами.

Критерий

Сформулированное правило, пример применения и одно ограничение метода.

AppSec threat model: злоупотребления описываются до реализации, а не после инцидента

Опорная идея

Threat model для функции начинается с user flow: вход, смена пароля, покупка, загрузка файла, просмотр сертификата. Для каждого шага описывают активы, злоумышленника, входные данные, trust boundary и возможное злоупотребление. После этого выбирают controls и тесты.

Так безопасность становится частью проектирования, а не поздним сканированием перед релизом.

Обсуждение

Войдите, чтобы участвовать в обсуждении.

Пока нет сообщений.