Seal Courses/Security Engineering for Fintech
OWASP

Security from First Principles

Security Engineering for Fintech

คอร์ส Security Engineering แบบ end-to-end สำหรับ engineer ที่ต้องสร้างและดูแลระบบจริง เริ่มจาก security mindset, threat modeling และ cryptography ต่อด้วย identity, web, API, mobile, network และ AWS security ก่อนจบด้วย advanced attacks, software supply chain และการออกแบบระบบ Fintech ตั้งแต่ mobile app จนถึง production cloud

27 บทเรียน6 partsSecurity

Course trail

เส้นทางการเรียน

Part 1 — Security Foundations

บทที่ 1Security Mindset & Core PrinciplesAsset, threat, vulnerability, risk, CIA Triad, trust boundary และหลักคิดที่ใช้ตัดสินใจเรื่อง Security ได้ตลอดทั้งคอร์สบทที่ 2Threat Modeling & Risk Assessmentเปลี่ยน architecture diagram ให้เป็น DFD, หา threat ด้วย STRIDE, จัดลำดับด้วย risk และเลือก control ที่ตรวจสอบผลได้บทที่ 3Cryptography, Keys & Secretsเลือก encryption, hash, MAC และ signature ให้ตรงเป้าหมาย พร้อม TLS, envelope encryption, KMS/HSM และ key lifecycleบทที่ 4Secure Development Lifecycleฝัง Security ตั้งแต่ requirement ถึง production ด้วย SSDF, ASVS, code review, SAST/DAST/SCA, SBOM และ vulnerability management

Part 2 — Identity & Web Security

บทที่ 5Identity & AuthenticationIdentity lifecycle, password policy, credential stuffing, account enumeration, rate limiting และ authentication telemetry ตามแนวทางปัจจุบันบทที่ 6Strong Authentication & Account RecoveryMFA, passkeys, phishing resistance, step-up authentication, authenticator binding และ recovery ที่ไม่กลายเป็นทางลัดยึดบัญชีบทที่ 7Session & Token SecurityCookie, bearer token, JWT/opaque token, fixation, hijacking, timeout, rotation, revocation และ refresh-token reuse detectionบทที่ 8Authorization & Access ControlRBAC, ABAC, ReBAC, BOLA/IDOR, function/property authorization, multi-tenant isolation และ maker-checker สำหรับ privileged actionบทที่ 9Web Security ModelHTTP, origin, Same-Origin Policy, cookie, CORS, browser credentials, trusted proxy headers และ TLS termination ที่กำหนด security boundary ของเว็บบทที่ 10OWASP Top 10 in PracticeOWASP Top 10:2025 ผ่าน root cause และ failure ของระบบการเงิน พร้อมวิธีใช้ร่วมกับ ASVS โดยไม่ตีความว่าเป็น certificationบทที่ 11Injection & Input SecurityValidation, canonicalization, parameterization และ contextual encoding สำหรับ SQL/NoSQL, command, path, template และ deserializationบทที่ 12Browser, File & Content SecurityXSS, CSRF, CSP, Trusted Types, clickjacking, open redirect, browser storage และ secure file pipeline สำหรับเอกสาร KYC

Part 3 — API & Mobile Security

บทที่ 13API Security FoundationsOWASP API Security Top 10:2023, REST/GraphQL/gRPC contracts, authorization, resource limits, inventory, versioning และ third-party trustบทที่ 14OAuth, OIDC & Service AuthenticationAuthorization Code + PKCE, OIDC, JWT/opaque token, BFF, refresh rotation, mTLS/DPoP, workload identity และ FAPI 2.0บทที่ 15API Abuse & Transaction IntegrityRate/cost limits, replay defense, request/webhook signing, idempotency, race/TOCTOU, double spend และ transaction-data bindingบทที่ 16Mobile Security FoundationsMobile threat model, Keystore/Keychain, biometric, local data, deep links, WebView, backup/log/clipboard และ third-party SDK ตาม MASVSบทที่ 17Mobile Hardening & TestingMASVS/MASTG, static/dynamic/reverse testing, obfuscation, root/jailbreak, attestation, certificate pinning และ secure update

Part 4 — Network Security

บทที่ 18Network Security FoundationsTCP/UDP, DNS, routing/NAT, ports, TLS 1.2/1.3, certificate/service identity, 0-RTT replay และ packet/flow visibilityบทที่ 19Network Architecture & SegmentationSecurity zones, north-south/east-west, default-deny ingress/egress, firewall/WAF, microsegmentation, private connectivity และ privileged accessบทที่ 20Network Defense, Detection & Zero TrustIDS/IPS/NDR, reconnaissance, DNS/MITM/DDoS defense, Zero Trust identity/policy และ network containment ที่มี telemetry/runbook

Part 5 — Cloud Security on AWS

บทที่ 21AWS Security Foundations & Multi-Account DesignShared responsibility, account/OU boundaries, Control Tower, SCP guardrails, root protection, break-glass และ secure landing zoneบทที่ 22AWS IAM & Workload IdentityIAM policy evaluation, federation, temporary credentials, role trust, cross-account access, permissions boundary และ least-privilege lifecycleบทที่ 23AWS Network & Edge SecurityVPC routing, Security Group/NACL, private endpoints, trusted ingress, WAF/Shield, egress controls, Network Firewall และ flow visibilityบทที่ 24AWS Data & Workload ProtectionKMS/key policy, secret lifecycle, S3/Object Lock, database encryption, IMDSv2, ECS/EKS/Lambda isolation และ artifact securityบทที่ 25AWS Logging, Detection & Incident ResponseCloudTrail, Config, GuardDuty, Macie, Security Hub, centralized evidence, detection engineering, containment และ cloud incident readiness

Part 6 — Advanced Security Engineering

บทที่ 26Advanced Attacks & Software Supply ChainSSRF, parser differentials, request smuggling, cache poisoning, deserialization, race conditions, SBOM, provenance, signing และ fuzzingบทที่ 27Fintech Security Architecture & Go-Live ChecklistCapstone architecture สำหรับ identity, transaction, data, AWS, supply chain, detection และ evidence-based security go-live decision

How to Read This Course

  • Part 1 อ่านเรียงลำดับ เพราะ threat modeling, cryptography และ Secure Development Lifecycle เป็นภาษากลางของทุก Part ที่ตามมา
  • Part 2–4 ไล่ตามเส้นทางของ request จริง: identity และ browser → API และ mobile → network
  • Part 5 นำ control เหล่านั้นไปวางบน AWS ตั้งแต่ account boundary จนถึง incident response
  • Part 6 รวมช่องโหว่ระดับ advanced แล้วจบด้วย architecture และ go-live checklist ของระบบ Fintech

ตัวอย่างในคอร์สใช้สถานการณ์ทั่วไปจาก mobile wallet, public API, operations portal, double-entry ledger, KYC document service และ workload บน AWS โดยไม่มีชื่อองค์กรหรือ ระบบสมมติเฉพาะ เพื่อแสดงว่า control ในแต่ละชั้นเชื่อมกันอย่างไร ไม่ใช่เรียนช่องโหว่ เป็นรายการแยกจากกัน

คอร์สนี้เหมาะกับ software engineer, platform engineer, tech lead และ solution architect ที่คุ้นเคยกับ HTTP API, database และ cloud เบื้องต้น ไม่จำเป็นต้องมีพื้นฐาน Security มาก่อน

Scope and Safety

ตัวอย่างมีไว้เพื่อการเรียนรู้

ตัวอย่าง request, policy และ configuration ตัดรายละเอียดบางส่วนออกเพื่อให้เห็นแนวคิด ต้องผ่านการ review, test และปรับตาม threat model ของระบบจริงก่อนใช้ใน production เนื้อหาจะอธิบายวิธีป้องกันและการทดสอบเฉพาะระบบที่ได้รับอนุญาตให้ทดสอบเท่านั้น

[!CAUTION] Security control ไม่ได้แปลว่า compliant โดยอัตโนมัติ ส่วนที่กล่าวถึง PDPA, PCI DSS, KYC, audit และข้อกำกับของธุรกิจการเงินเป็น ข้อพิจารณาเชิงวิศวกรรม ไม่ใช่คำแนะนำทางกฎหมาย การตัดสินใจเรื่องขอบเขตข้อมูล, ระยะเวลาเก็บ, การรายงานเหตุ และการยอมรับความเสี่ยงต้องเป็นของผู้มีอำนาจจาก Security, Risk, Compliance และ Legal ขององค์กร

Reference Families

เอกสารมาตรฐานและบริการ cloud เปลี่ยนได้เสมอ เนื้อหาจะหลีกเลี่ยงการจำหมายเลขเวอร์ชัน โดยไม่จำเป็น และระบุจุดที่ต้องตรวจ official documentation ของระบบที่ใช้งานจริง