计算机科学硕士课程

默认只展示每周独有的知识重点；节奏、考核、Tutorial 和避坑信息按需展开。

1. 1

   项目启动与威胁建模

   📖核心知识点：网络安全项目管理框架。**威胁建模** (Threat Modelling) 方法论——STRIDE、Attack Trees、DREAD 评分。安全需求分析与安全设计原则（Least Privilege、Defence in Depth、Fail-Safe Defaults）。项目选题与团队组建。⏰本周节奏：确定项目方向，完成初步威胁分析文档。🎯考试关联：无传统考试，评分基于项目交付与报告。🧪Tutorial/Lab：使用 Microsoft Threat Modeling Tool 进行实操。📌作业关联：第一份交付物——威胁模型报告。⚠️易错点：威胁建模过于笼统，未针对具体系统组件分析。

2. 2

   安全架构设计

   📖核心知识点：**安全架构**设计模式——Zero Trust Architecture、Network Segmentation、DMZ 设计。身份认证与授权框架：OAuth 2.0、OIDC、SAML 的适用场景。加密通信——TLS 1.3 配置最佳实践、证书管理。安全日志与审计设计。⏰本周节奏：将威胁模型转化为安全架构文档。🎯考试关联：架构设计质量直接影响项目评分。🧪Tutorial/Lab：设计项目的安全架构图。📌作业关联：安全架构设计文档。⚠️易错点：过度依赖边界防护而忽略内部威胁；日志设计缺乏结构化。

3. 3

   安全编码实践

   📖核心知识点：**OWASP Top 10** 漏洞类型与防御策略。安全编码标准——输入验证、输出编码、参数化查询。常见漏洞实操：SQL Injection、XSS、CSRF、SSRF 的攻击原理与防御代码。依赖管理与供应链安全（SCA 工具）。⏰本周节奏：开始核心功能编码，同步集成安全措施。🎯考试关联：代码中的安全实践是 Demo 评审重点。🧪Tutorial/Lab：使用 DVWA/Juice Shop 进行漏洞复现与修复。📌作业关联：项目代码需体现安全编码实践。⚠️易错点：只在后端做验证而忽略前端；CSRF Token 实现不完整。

4. 4

   渗透测试基础

   📖核心知识点：渗透测试方法论——**Reconnaissance → Scanning → Exploitation → Post-Exploitation → Reporting**。信息收集工具：Nmap、Shodan、theHarvester。漏洞扫描：Nessus、OpenVAS。Web 应用测试：Burp Suite 核心功能。⏰本周节奏：对自己的项目进行初步安全测试。🎯考试关联：渗透测试报告质量影响最终评分。🧪Tutorial/Lab：使用 Burp Suite 对项目进行 Web 漏洞扫描。📌作业关联：初步渗透测试报告。⚠️易错点：扫描范围超出授权边界；误报与漏报的区分不当。

5. 5

   身份与访问管理

   📖核心知识点：**IAM** 系统设计——RBAC、ABAC、ReBAC 模型对比。多因素认证（MFA）实现。Session 管理安全——Token 存储、过期策略、Session Fixation 防护。API 安全——JWT 签名验证、Rate Limiting、API Key 管理。⏰本周节奏：在项目中实现完整的认证授权模块。🎯考试关联：IAM 实现的安全性是 Demo 评审的核心关注点。🧪Tutorial/Lab：实现 JWT-based 认证并测试常见攻击向量。📌作业关联：项目认证授权模块。⚠️易错点：JWT 密钥硬编码；Refresh Token 未做 Rotation。

6. 6

   灵活性周 (Flex Week)

   📖核心知识点：无新内容。项目中期检查，确保核心功能与安全机制均已实现。进行内部代码审查（Peer Code Review）。⏰本周节奏：90% 项目开发与测试。🎯考试关联：中期 Demo 可能影响最终评分权重。🧪Tutorial/Lab：团队内部 Code Review Session。📌作业关联：中期交付物。⚠️易错点：只关注功能完成度而忽略安全测试覆盖率。

7. 7

   安全测试与自动化

   📖核心知识点：**SAST/DAST/IAST** 工具集成——SonarQube、Semgrep、OWASP ZAP。CI/CD 安全管道（DevSecOps）：在 Pipeline 中集成安全扫描。Fuzzing 基础——AFL、libFuzzer 的应用场景。安全回归测试策略。⏰本周节奏：将安全测试工具集成到项目 CI/CD。🎯考试关联：自动化安全测试是报告的加分项。🧪Tutorial/Lab：配置 GitHub Actions + OWASP ZAP 自动扫描。📌作业关联：安全测试自动化集成。⚠️易错点：SAST 工具误报过多导致忽略真实问题；Fuzzing 输入种子选择不当。

8. 8

   事件响应与取证

   📖核心知识点：**Incident Response** 流程——Preparation → Detection → Containment → Eradication → Recovery → Lessons Learned。数字取证基础：日志分析、网络流量捕获（Wireshark/tcpdump）、内存取证。SIEM 系统概念与告警规则设计。⏰本周节奏：为项目编写事件响应计划。🎯考试关联：事件响应计划是最终报告的重要组成。🧪Tutorial/Lab：使用 ELK Stack 进行日志分析演练。📌作业关联：事件响应计划文档。⚠️易错点：响应计划过于理论化缺乏可执行性；日志保留策略未定义。

9. 9

   合规与风险评估

   📖核心知识点：安全合规框架——**ISO 27001**、NIST CSF、PCI DSS、澳洲 Privacy Act。风险评估方法——定性 vs 定量分析、风险矩阵、残余风险处理策略。安全审计报告撰写规范。⏰本周节奏：完成项目最终安全评估与合规分析。🎯考试关联：合规性分析是最终报告的评分项。🧪Tutorial/Lab：对项目进行合规性差距分析（Gap Analysis）。📌作业关联：最终安全评估报告。⚠️易错点：选择不适用的合规框架；风险等级评估缺乏依据。

10. 10

    项目演示与总结

    📖核心知识点：安全项目交付——完整的安全文档体系（威胁模型、架构设计、测试报告、事件响应计划）。项目演示技巧——如何清晰展示安全决策的理由与效果。反思与改进——安全是持续过程而非一次性活动。⏰本周节奏：100% 用于最终 Demo 准备与报告完善。🎯考试关联：最终 Demo 与报告占总评大部分。🧪Tutorial/Lab：Mock Demo 与 Peer Feedback。📌作业关联：最终项目提交——代码 + 报告 + 演示。⚠️易错点：演示时只展示功能而不解释安全设计决策；报告缺乏量化的安全指标。