Week 1项目启动与威胁建模
📖核心知识点:网络安全项目管理框架。**威胁建模** (Threat Modelling) 方法论——STRIDE、Attack Trees、DREAD 评分。安全需求分析与安全设计原则(Least Privilege、Defence in Depth、Fail-Safe Defaults)。项目选题与团队组建。⏰本周节奏:确定项目方向,完成初步威胁分析文档。🎯考试关联:无传统考试,评分基于项目交付与报告。🧪Tutorial/Lab:使用 Microsoft Threat Modeling Tool 进行实操。📌作业关联:第一份交付物——威胁模型报告。⚠️易错点:威胁建模过于笼统,未针对具体系统组件分析。
Week 2安全架构设计
📖核心知识点:**安全架构**设计模式——Zero Trust Architecture、Network Segmentation、DMZ 设计。身份认证与授权框架:OAuth 2.0、OIDC、SAML 的适用场景。加密通信——TLS 1.3 配置最佳实践、证书管理。安全日志与审计设计。⏰本周节奏:将威胁模型转化为安全架构文档。🎯考试关联:架构设计质量直接影响项目评分。🧪Tutorial/Lab:设计项目的安全架构图。📌作业关联:安全架构设计文档。⚠️易错点:过度依赖边界防护而忽略内部威胁;日志设计缺乏结构化。
Week 3安全编码实践
📖核心知识点:**OWASP Top 10** 漏洞类型与防御策略。安全编码标准——输入验证、输出编码、参数化查询。常见漏洞实操:SQL Injection、XSS、CSRF、SSRF 的攻击原理与防御代码。依赖管理与供应链安全(SCA 工具)。⏰本周节奏:开始核心功能编码,同步集成安全措施。🎯考试关联:代码中的安全实践是 Demo 评审重点。🧪Tutorial/Lab:使用 DVWA/Juice Shop 进行漏洞复现与修复。📌作业关联:项目代码需体现安全编码实践。⚠️易错点:只在后端做验证而忽略前端;CSRF Token 实现不完整。
Week 4渗透测试基础
📖核心知识点:渗透测试方法论——**Reconnaissance → Scanning → Exploitation → Post-Exploitation → Reporting**。信息收集工具:Nmap、Shodan、theHarvester。漏洞扫描:Nessus、OpenVAS。Web 应用测试:Burp Suite 核心功能。⏰本周节奏:对自己的项目进行初步安全测试。🎯考试关联:渗透测试报告质量影响最终评分。🧪Tutorial/Lab:使用 Burp Suite 对项目进行 Web 漏洞扫描。📌作业关联:初步渗透测试报告。⚠️易错点:扫描范围超出授权边界;误报与漏报的区分不当。
Week 5身份与访问管理
📖核心知识点:**IAM** 系统设计——RBAC、ABAC、ReBAC 模型对比。多因素认证(MFA)实现。Session 管理安全——Token 存储、过期策略、Session Fixation 防护。API 安全——JWT 签名验证、Rate Limiting、API Key 管理。⏰本周节奏:在项目中实现完整的认证授权模块。🎯考试关联:IAM 实现的安全性是 Demo 评审的核心关注点。🧪Tutorial/Lab:实现 JWT-based 认证并测试常见攻击向量。📌作业关联:项目认证授权模块。⚠️易错点:JWT 密钥硬编码;Refresh Token 未做 Rotation。
Week 6灵活性周 (Flex Week)
📖核心知识点:无新内容。项目中期检查,确保核心功能与安全机制均已实现。进行内部代码审查(Peer Code Review)。⏰本周节奏:90% 项目开发与测试。🎯考试关联:中期 Demo 可能影响最终评分权重。🧪Tutorial/Lab:团队内部 Code Review Session。📌作业关联:中期交付物。⚠️易错点:只关注功能完成度而忽略安全测试覆盖率。
Week 7安全测试与自动化
📖核心知识点:**SAST/DAST/IAST** 工具集成——SonarQube、Semgrep、OWASP ZAP。CI/CD 安全管道(DevSecOps):在 Pipeline 中集成安全扫描。Fuzzing 基础——AFL、libFuzzer 的应用场景。安全回归测试策略。⏰本周节奏:将安全测试工具集成到项目 CI/CD。🎯考试关联:自动化安全测试是报告的加分项。🧪Tutorial/Lab:配置 GitHub Actions + OWASP ZAP 自动扫描。📌作业关联:安全测试自动化集成。⚠️易错点:SAST 工具误报过多导致忽略真实问题;Fuzzing 输入种子选择不当。
Week 8事件响应与取证
📖核心知识点:**Incident Response** 流程——Preparation → Detection → Containment → Eradication → Recovery → Lessons Learned。数字取证基础:日志分析、网络流量捕获(Wireshark/tcpdump)、内存取证。SIEM 系统概念与告警规则设计。⏰本周节奏:为项目编写事件响应计划。🎯考试关联:事件响应计划是最终报告的重要组成。🧪Tutorial/Lab:使用 ELK Stack 进行日志分析演练。📌作业关联:事件响应计划文档。⚠️易错点:响应计划过于理论化缺乏可执行性;日志保留策略未定义。
Week 9合规与风险评估
📖核心知识点:安全合规框架——**ISO 27001**、NIST CSF、PCI DSS、澳洲 Privacy Act。风险评估方法——定性 vs 定量分析、风险矩阵、残余风险处理策略。安全审计报告撰写规范。⏰本周节奏:完成项目最终安全评估与合规分析。🎯考试关联:合规性分析是最终报告的评分项。🧪Tutorial/Lab:对项目进行合规性差距分析(Gap Analysis)。📌作业关联:最终安全评估报告。⚠️易错点:选择不适用的合规框架;风险等级评估缺乏依据。
Week 10项目演示与总结
📖核心知识点:安全项目交付——完整的安全文档体系(威胁模型、架构设计、测试报告、事件响应计划)。项目演示技巧——如何清晰展示安全决策的理由与效果。反思与改进——安全是持续过程而非一次性活动。⏰本周节奏:100% 用于最终 Demo 准备与报告完善。🎯考试关联:最终 Demo 与报告占总评大部分。🧪Tutorial/Lab:Mock Demo 与 Peer Feedback。📌作业关联:最终项目提交——代码 + 报告 + 演示。⚠️易错点:演示时只展示功能而不解释安全设计决策;报告缺乏量化的安全指标。