Utolsó ellenőrzés: 2026. november 4., a bejegyzésben hivatkozott forrásokkal összehasonlítva.
A pull request rendezettnek tűnik. A kódoló asszisztens írta a nagy részét, a tesztek sikeresek, és hozzáad egy olyan könyvtárat, amiről a csapatban senki sem hallott. Egyesítsd őket, és küldhetsz egy olyan csomagot, ami a múlt héten még nem létezett, vagy egy olyan végpontot, ami kihagy egy hozzáférés-ellenőrzést. Ezt a hiányosságot kell a fejlesztők biztonsági képzésének betöltenie. Az OWASP Top 10:2025 a hibás hozzáférés-vezérlést helyezi előtérbe, és arról számol be, hogy... A tesztelt alkalmazások 100%-ában valamilyen módon hibás hozzáférés-vezérlés volt megfigyelhető..
Ez a lista mérnöki vezetőknek és biztonsági szakértőknek szól. 10 előre elkészített kurzust kapsz 3 csoportban, melyekben leírják, hogy mit javítanak ki, és hogyan kell bevezetni őket. Minden csoport egy… A mi választásunkAz egyetlen jogi pont egy amerikai szövetségi szabályt ír le, ezért ezt tananyagként, ne határozatként használd.
Mind a 10 kurzus áttekintése
| Tanfolyam | Mit takar | Hossz | Jog áll mögötte? |
|---|---|---|---|
| Biztonságos, mesterséges intelligenciával támogatott szoftverfejlesztés | Kódolóasszisztensek, ügynökök és a biztonságos mesterséges intelligencia által vezérelt kódolási ciklus | 45 min | Nem |
| Memóriabiztos C és C++ a CERT és MISRA szabványoknak megfelelően | Élettartamok, mutatók, gyakori hibák és statikus elemzés | 45 min | Nem |
| Párhuzamossági biztonság | Szálak, zárolások, versenyfeltételek és holtpont | 40 min | Nem |
| Vállalati platformfejlesztői bevezetés | Első biztonságos változás, bővítések és változáskezelés | 45 min | Nem |
| Adatok osztályozása és kezelése | Szintek, adatok tárolása, megosztása és megsemmisítése | 25 min | Nem |
| Mesterséges intelligencia biztonság mindenkinek | Árnyék MI, azonnali injekció és ismeretlen kódcsomagok | 30 min | Nem |
| Biztonsági tudatosság alapjai | A támadás szakaszai és az alapvető szokások | 35 min | Igen (az Egyesült Államokban lefedett pénzügyi intézmények) |
| Adathalászat és pszichológiai manipuláció | Figyelmeztető jelzések, ellenőrzés és jelentéstétel | 30 min | Nem |
| Jelszavak, hozzáférési kulcsok és többtényezős hitelesítés | Biztonságos bejelentkezések, többtényezős hitelesítés, hozzáférési kulcsok és helyreállítás | 30 min | Nem |
| Szociális manipuláció, csalás és deepfake-ek | Telefonos, fizetési és személyazonossággal való visszaélések | 35 min | Nem |
Csak a biztonságtudatossági tanfolyam szerepel az amerikai szövetségi szabályozáson, és csak néhány szervezet esetében: az FTC védintézkedési szabálya kimondja, hogy a fedezett pénzügyi intézményeknek biztosítaniuk kell a következőket: biztonsági tudatossági képzést a személyzetüknekNem jelöl ki utat mindenki másnak.
Biztonságos és megbízható fejlesztés
Biztonságos, mesterséges intelligenciával támogatott szoftverfejlesztés: kódolóasszisztensek és ügynökök kockázatmentesen
Ez a 45 perces kurzus egy hallucinált csomaggal kezdődik, amely támadássá válik, majd hat módot tárgyal, ahogyan a kódolóasszisztensek és ügynökök kudarcot vallanak, a biztonságos mesterséges intelligencia alapú kódolási ciklust (kérdés, ellenőrzés, tesztelés, közzététel), az ügyféladatok szürke zónáit, a shell parancsokat és a nem tesztelt pull requesteket, valamint a jóváhagyott eszközöket, amelyeken MI-használati címkék vannak a pull requesteken. A kurzus egy 12 kérdéses záróellenőrzéssel zárul, amely a 80%-os sikeres teljesítést jelenti. A „hibakeresés” kör jól működik válaszdiaként. Az értékelési oldalt lásd: útmutatónk a mesterséges intelligencia által generált kód áttekintési képzéséhez.
Memóriabiztos C és C++ a CERT és MISRA szabványoknak megfelelően
A memória-biztonsági hibák a C és C++ nyelveken jól ismert sebezhetőségi osztályt alkotnak. Ez a 45 perces kurzus egyetlen kóbor mutató okozta összeomlással kezdődik, majd a verem, a halom és az élettartamok, a mutatók és a tömbök, valamint az olyan gyakori hibák, mint a „felszabadulás utáni használat”, a kódolási szabályok gyakorlata és a statikus elemzés áttekintése. A „nevezd meg a hibát” kérdés természetes válaszválasztási kör egy csapatos kódáttekintési ülésen.
Párhuzamossági biztonság: szálak, zárak és versenyfeltételek
A versenyfeltételek olyan hibákat okoznak, amelyek minden teszten átmennek az éles környezetig. Ez a 40 perces kurzus egy olyan számlálót követ, amely minden tizedik futtatáskor hibás volt, majd áttekinti a szálakat, folyamatokat és aszinkronizációt, zárolásokat, mutexeket és szemaforokat, versenyfeltételeket és holtpontokat, nyelvenkénti mintákat és egy ellenőrzőlistát. Az „eszköz kiválasztása” forgatókönyv, mutex vagy szemafor, gyors áttekintést nyújt a backend fejlesztőknek arról, hogy mit tudnak.
Vállalati platformfejlesztői bevezetés: az első biztonságos váltás egy üzleti platformra
A konfigurálható üzleti platformokon dolgozó új fejlesztők gyakran már az első változtatással hibát követnek el. Ez a 45 perces tanfolyam az élő konfiguráció első módosítását, a platformkoncepciókat, a jelentéseket és a feldolgozást, a kiterjesztéseket és a konfigurációs adattárat, a változáskezelést és az átadási jegyzet megírását tárgyalja. Használd az újoncok első hetében, mielőtt egy szállítói objektumhoz nyúlnának.
A mi választásunk: Biztonságos, mesterséges intelligenciával támogatott szoftverfejlesztés. Sok csapat ma már asszisztens által írt kódot küld, és ez a kurzus egyetlen ciklust biztosít számukra, amit követniük kell, mielőtt összevonnák azt.
Adat- és mesterséges intelligencia eszközbiztonság
Adatok osztályozása és kezelése
A fejlesztők éles adatokat másolnak tesztrendszerekbe, és naplókat osztanak meg chaten. Ez a 25 perces kurzus bemutatja, hogy miért létezik besorolás, milyen szinteken működik a vállalat, mi megengedett és mi nem megengedett az adatok címkézése, tárolása, megosztása és megsemmisítése során, a vészjelzéseket és az eszkaláció módját. A kurzus egy 10 kérdéses záróellenőrzéssel zárul, amely a 80%-os pontszám elérésekor szükséges. A „Hol kell tárolni a bizalmas adatokat?” kérdés egy gyors Pick Answer kérdést tesz fel.
MI-biztonság mindenkinek: árnyék-MI, azonnali befecskendezés és manipulált kimenetek
A gyorsított injekció és az ismeretlen kódcsomagok közvetlenül befolyásolják a kódolóasszisztenseket. Ez a 30 perces kurzus az árnyék-AI-t és a feltört chatbotokat, a gyors injekciót és a mérgezett tartalmat, a PDF-ekben és e-mailekben található rejtett utasításokat, az ingyenes AI-bővítményeket és az ismeretlen kódcsomagokat, valamint az incidensek jelentését vagy a jóváhagyott eszköz igénylését tárgyalja. Egy szófelhő a „mely AI-eszközök vannak ma a szerkesztődben?” témában megmutatja, hogy mit kell lefednie a szabályzatodnak.
A mi választásunk: Adatok osztályozása és kezelése. Egy chatbotba beillesztett stack trace adatszivárgás, és ez a rövid kurzus tisztázza a szinteket, mielőtt megtörténne.
Fiók- és adathalászat elleni védelem
Biztonsági tudatosság alapjai
A fejlesztők birtokolják a forráskódot, a titkos kódokat és a hozzáférést a folyamathoz, így az alapszint fontosabb számukra. Ez a 35 perces tanfolyam bemutatja, hogy miért válnak célponttá az emberek, a támadás felépítését, a vészjelzéseket, hogyan védhetjük meg magunkat, valamint hogyan reagálhatunk és jelenthetünk támadást. A tanfolyam 80%-os teljesítéshez egy 12 kérdéses záróellenőrzést is tartalmaz. A védelem alatt álló pénzügyi intézmények számára ez egy kész módja annak, hogy megfeleljenek az FTC védelmi szabályának biztonságtudatossági képzési követelményének, bár a szabály nem nevez meg tanfolyamot.
Adathalászat és pszichológiai manipuláció
A fejlesztőktől adathalászat áldozatai a tárhely- és felhőalapú hitelesítő adatok megszerzésének. Ez a 30 perces kurzus elmagyarázza, hogyan épülnek fel a támadások, a vészjelzéseket, hogyan védheti meg magát, és hogyan tehet bejelentést, egy 12 kérdéses záróellenőrzéssel, amely 80%-os eredményt igényel. Adjon hozzá egy példát egy hamis kódtárhely-bejelentkezési oldalra az élő elemzéshez. A SOC triázsolja, hogy mit jelentenek a fejlesztők: lásd SOC elemzői képzési listánk.
Jelszavak, hozzáférési kulcsok és többtényezős hitelesítés a személyzet számára
A fejlesztői fiókok védik a kódot és a folyamatokat, ezért erős hitelesítésre van szükségük. Ez a 30 perces kurzus bemutatja, hogy miért a fiókok a célpontok, az erős és egyedi bejelentkezéseket, a többtényezős hitelesítést és hozzáférési kulcsokat, a hamis bejelentkezési oldalakat, valamint a megosztás, a gyorsbillentyűk és a helyreállítás szürke zónáit. Egy értékelő skála, amely a „fiókjaid közül hányan használnak többtényezős hitelesítést?” kérdésre válaszolva őszinte beszélgetést indít.
Szociális manipuláció, csalás és deepfake-ek: telefonos, fizetési és személyazonossággal való visszaélések
A megszemélyesítéssel kapcsolatos csalások célpontjai azok a mérnökök, akik jóváhagyhatják a hozzáférést vagy a telepítéseket. Ez a 35 perces kurzus egy meggyőző kérést követ, ismerteti a taktikákat, az ismert számmal történő ellenőrzést, a hamis hangot és videót, valamint azt, hogy miért nyomásgyakorlás és titoktartás a rangidősség és a titoktartás. A „megadná ezt a hozzáférést?” forgatókönyv egyfajta válaszválasztási körként működik.
A mi választásunk: Jelszavak, hozzáférési kulcsok és többtényezős hitelesítés az alkalmazottak számára. Egyetlen ellopott fejlesztői bejelentkezési adat elérheti az egész folyamatot, és a jelszavak ellenállnak az adathalászatnak, így egy ellopott jelszó önmagában már nem nyitja meg azt.
Hogyan valósítsuk meg a tervet
Kezdje ott, ahol a hibák a leggyakoribbak. A hibás hozzáférés-vezérléssel minden alkalmazás OWASP adatait tesztelték, párosítsd a biztonságos kódolású kurzusokat az áttekintési szokásokkal, ne csak a diákkal.
- Egy új fejlesztő első hetében: biztonsági tudatosság alapjai, jelszavak, hozzáférési kulcsok és többtényezős hitelesítés (MFA), adatosztályozás, valamint a platform bevezetési tanfolyama, ha a csapatod erre épít.
- Az első hónapban: biztonságos mesterséges intelligencia által támogatott fejlesztés, mesterséges intelligencia általi biztonság mindenki számára, valamint memóriabiztonsági vagy párhuzamossági tanfolyam a csapat által használt nyelvekhez.
- Minden évben: egy felkészítő kvíz minden kurzusról, valamint az AI-kurzusokról, valahányszor új asszisztenst vagy ügynököt hagynak jóvá.
- Mikor érvényes: Ha Ön is védett pénzügyi intézmény, tartsa naprakészen a biztonsági tudatosságnövelő képzést az FTC védelmi szabályaiban leírtak szerint, és kérdezze meg jogi tanácsadóját, hogy mi vonatkozik még az Ön országában vagy államában.
A kurzusok lebonyolításának módjai AhaSlides
Ezek közül bármelyiket felépítheted önálló tempójú kurzusként a AhaSlides a kurzuskészítő, futtassa őket élő kérdések és válaszok szekcióként, vagy mindkettő, egy kurzus utáni kérdőívvel és egy 30 napos bejelentkezéssel, hogy lássa, mi változott.
- Válaszd ki a választ: Mutass egy kódrészletet a kurzusból, és kérdezd meg, hogy melyik hibát rejti.
- Szófelhő: Tedd fel a kérdést: „Mit ellenőrizel, mielőtt asszisztens által írt kódot egyesítesz?”, és hasonlítsd össze a válaszokat a biztonságos MI kódolási ciklussal.
- Értékelési skála: előtte és utána kérdezd meg: „Mennyire biztos vagy benne, hogy észreveszel egy versenyhelyzetet az áttekintés során?” 1-től 5-ig terjedő skálán.
- Nyílt végű: névtelen majdnem-balesetek összegyűjtése az élő munkamenet végén az utolsó sprintből.
FAQ
Milyen biztonsági képzésre van szükségük a fejlesztőknek?
A fejlesztőknek biztonságos kódolásra, függőségek és titkos kódok kezelésére, valamint mesterséges intelligencia által vezérelt kódolóeszközök biztonságos használatára van szükségük. A fenti kurzusok ezeket a szinteket, valamint a minden alkalmazott számára szükséges tudatossági alapismereteket is lefedik.
Biztonságos a mesterséges intelligencia által generált kód?
Nem alapértelmezés szerint. Ugyanolyan áttekintésre, tesztelésre és szkennelésre van szüksége, mint bármely más kódnak, és ellenőrizni kell, hogy minden javasolt csomag létezik és jóváhagyták-e.
Mi a memóriabiztonság?
A memóriabiztonság a támadók által kihasználható hibák, például a puffer túlcsordulások és a „use after free” jelenségek megelőzését jelenti. A C és C++ nyelveknek szabályokra és statikus elemzésre van szükségük ehhez.
Milyen gyakran kell a fejlesztőknek biztonsági képzést végezniük?
Évente egyszer, rövid frissítésekkel, amikor a keretrendszerek, eszközök vagy fenyegetések megváltoznak.
Ez a bejegyzés általános tájékoztatást nyújt, nem jogi tanácsadást. A saját munkahelyével kapcsolatos döntéshez forduljon szakképzett ügyvédhez vagy a szabályozó hatósághoz.
