Cyber Security Academy · บทเรียน

คำแนะนำการแก้ไข

ช่วยทีมแก้ไขปัญหา

คำแนะนำการแก้ไข เป็นบทเรียน Cyber Security Academy ฟรีบน CoddyKit นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Cyber Security Academy และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Cyber Security Academy มีบทเรียนทั้งหมด 4 บทเรียน

ก้าวไปไกลกว่าการค้นหาปัญหา

การค้นหาช่องโหว่เป็นเพียงครึ่งหนึ่งของงาน คุณค่าที่ยั่งยืนของการทดสอบเจาะระบบคือการช่วยทีมแก้ไขช่องโหว่เหล่านั้น

คำแนะนำการแก้ไขที่ดีจะเปลี่ยนรายงานจากคำร้องเรียนให้เป็นแผนงาน

ระบุให้เฉพาะเจาะจง ไม่ใช่แบบทั่วไป

คำแนะนำทั่วไปอย่าง 'ทำความสะอาดข้อมูลนำเข้า' ทำให้ผู้อ่านเสียเวลา เชื่อมโยงการแก้ไขกับเทคโนโลยีที่ใช้งานจริงโดยตรง

อ่อน: ตรวจสอบข้อมูลนำเข้าของผู้ใช้
ดี: ใช้คำสั่งที่กำหนดพารามิเตอร์ผ่านส่วนเชื่อมต่อการสร้างคำสั่งที่เตรียมไว้

แสดงวิธีแก้ไข

หากเป็นไปได้ ให้ใส่ตัวอย่างรูปแบบที่แก้ไขแล้วแบบสั้น ๆ วิศวกรจะลงมือได้เร็วขึ้นเมื่อเห็นรูปแบบโค้ดเป้าหมาย

แสดงรูปแบบที่มีช่องโหว่เทียบกับรูปแบบที่แก้ไขแล้วไว้เคียงข้างกัน

Vulnerable:
  query = 'SELECT * FROM u WHERE n=' + name

Fixed (parameterized):
  query = 'SELECT * FROM u WHERE n = ?'
  db.execute(query, [name])

สาเหตุรากฐานกับอาการ

แนะนำการแก้ไขที่จัดการกับสาเหตุรากฐาน ไม่ใช่เพียงอาการที่คุณพบ

หากปลายทางหนึ่งมีช่องโหว่การฉีดคำสั่ง SQL การแก้ไขที่แท้จริงคือบังคับใช้คำสั่งที่กำหนดพารามิเตอร์ในทุกจุด ไม่ใช่แก้เฉพาะบรรทัดนั้น

การป้องกันแบบหลายชั้น

แนะนำมาตรการควบคุมหลายชั้น เพื่อไม่ให้ความล้มเหลวเพียงจุดเดียวทำให้ระบบถูกบุกรุก

การแก้ไขหลัก: คำสั่งที่กำหนดพารามิเตอร์
มาตรการรอง: บัญชีฐานข้อมูลที่มีสิทธิ์น้อยที่สุด
มาตรการตรวจจับ: การแจ้งเตือนเมื่อพบคำสั่ง SQL ที่ผิดปกติ

การมีหลายชั้นช่วยเพิ่มเวลาและลดขอบเขตความเสียหาย

ระยะสั้นกับระยะยาว

บางครั้งการแก้ไขอย่างสมบูรณ์อาจใช้เวลาหลายสัปดาห์ เสนอทั้งมาตรการลดความเสี่ยงระยะสั้นและการแก้ไขที่ยั่งยืน เพื่อให้ลูกค้าลดความเสี่ยงได้ตั้งแต่วันนี้

ระบุให้ชัดเจนว่ามาตรการลดความเสี่ยงเป็นเพียงชั่วคราว

Mitigation (now): WAF rule blocking
                  quote chars on /login
Fix (this sprint): parameterize the
                   login query

ความพยายามและลำดับความสำคัญ

ช่วยลูกค้าวางแผนโดยประเมินความพยายามควบคู่กับลำดับความสำคัญ ข้อบกพร่องระดับร้ายแรงที่ใช้เวลาแก้เพียงสิบนาทีควรเป็นสิ่งแรกที่ลงมือทำอย่างชัดเจน

พิจารณาระดับความรุนแรงร่วมกับความพยายามเพื่อเสนอ סדרลำดับที่เหมาะสม

ID    Severity  Effort   Order
F-01  Critical  Low      1
F-02  High      Medium   2
F-05  Medium    Low      3

อ้างอิงคำแนะนำจากแหล่งที่เชื่อถือได้

อ้างอิงแหล่งข้อมูลที่เชื่อถือได้ เช่น เอกสารสรุปของ OWASP คู่มือเสริมความปลอดภัยจากผู้จำหน่าย และบันทึกการลดความเสี่ยงของ CWE

แหล่งข้อมูลเหล่านี้ช่วยให้วิศวกรศึกษาเพิ่มเติม และแสดงให้เห็นว่าคำแนะนำของคุณสอดคล้องกับแนวทางอุตสาหกรรม

การตรวจสอบและการทดสอบซ้ำ

บอกลูกค้าวิธีตรวจสอบการแก้ไขแต่ละรายการ และเสนอการทดสอบซ้ำ การแก้ไขที่ไม่ได้รับการตรวจสอบอาจยังไม่สมบูรณ์

นำขั้นตอนการทำซ้ำมาใช้เป็นการทดสอบตรวจสอบ หากขั้นตอนเหล่านั้นใช้ไม่ได้อีกต่อไป แสดงว่าการแก้ไขได้ผล

เคารพข้อจำกัดของทีม

นำเสนอคำแนะนำในลักษณะร่วมมือกัน ทีมวิศวกรรมรู้จักเทคโนโลยีที่ใช้และข้อจำกัดของตนดีกว่าคุณ

เสนอทางเลือกเมื่อเหมาะสม และหลีกเลี่ยงน้ำเสียงกล่าวโทษ เป้าหมายของคุณคือทำให้ระบบของพวกเขาปลอดภัยยิ่งขึ้น ไม่ใช่เอาชนะการโต้เถียง

ติดตามจนปิดประเด็น

แนะนำให้ลูกค้าติดตามประเด็นที่พบแต่ละรายการจนปิดประเด็นในระบบติดตามปัญหา โดยเชื่อมโยงกับ ID ของรายงาน

ประเด็นที่พบจะยังไม่ถือว่าเสร็จสิ้นเมื่อมีผู้อ่านแล้ว แต่จะเสร็จสิ้นเมื่อแก้ไข ตรวจสอบ และปิดประเด็นแล้ว

ตรวจสอบความเข้าใจ

ทดสอบความเข้าใจของคุณเกี่ยวกับคำแนะนำการแก้ไข

สรุปทบทวน

คุณได้เรียนรู้วิธีให้คำแนะนำการแก้ไขที่มีประสิทธิภาพ

ระบุให้สอดคล้องกับเทคโนโลยี และแสดงโค้ดที่แก้ไขแล้ว
แก้ไขสาเหตุรากฐาน ไม่ใช่เพียงอาการ
แนะนำการป้องกันแบบหลายชั้น รวมถึงการแก้ไขระยะสั้นและระยะยาว
ประเมินความพยายามเพื่อช่วยจัดลำดับความสำคัญ และอ้างอิง OWASP/CWE
เสนอการตรวจสอบและการทดสอบซ้ำ พร้อมติดตามประเด็นที่พบจนปิดประเด็น

คุณเรียนจบหลักสูตรการจัดทำรายงานการทดสอบเจาะระบบแล้ว

คำถามที่พบบ่อย

บทเรียน “คำแนะนำการแก้ไข” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “คำแนะนำการแก้ไข” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Cyber Security Academy ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Cyber Security Academy มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “คำแนะนำการแก้ไข”

ช่วยทีมแก้ไขปัญหา คุณปฏิบัติ Cyber Security Academy ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Cyber Security Academy หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน Cyber Security Academy บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน

บทเรียน “คำแนะนำการแก้ไข” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน Cyber Security Academy นี้ได้ไหม

ได้ บทเรียน Cyber Security Academy ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

← กลับไปที่ Cyber Security Academy