План на курса
1. Основи на DevSecOps: Сигурност по подразбиране
🔍 Учим: Основни принципи на DevSecOps и сигурен SDLC
🛠️ Демонстрация: Паралелно съпоставяне на традиционни и модерни сигурни пайплайните
🔧 Лабораторен работа: Създаване на първата ви шаблон за DevSecOps-пайплайн
2. OWASP ZAP Буткемп по сигурността при тестирания
💣 Симулация на нарушение:
- Инсталиране на уязвимо приложение с SQLi и XSS
- Потреба от OWASP ZAP за откриване и премахване на заплахите
⚙️ Техники на защита:
- Автоматизирано сканиране с ZAP
- Интеграция в CI/CD чрез API на ZAP
🧪 Лабораторен работа: Настояване базовите сканирования и правила за атака в ZAP
🎯 Изпълнение: “Намерете скритата администраторска панелка за 10 минути”
3. Dependency Hell: Защита на веригата на доставки
💣 Симулация на нарушение:
- Инсталиране на злонамерен npm пакет с CVEs
🛡️ Техники на защита:
- Мониторинг на уязвимости с OWASP Dependency-Track
- Реализиране на политически вратоврътежи, които провалят сградите при критични CVEs
🧪 Лабораторен работа: Създаване на политики за уязвимости и работните процеси за оповестяване
⚠️ Завършена демонстрация: “Как едно лошо зависимост може да вземе контрол над инфраструктурия ви”
4. War Room за управление на уязвимости
💣 Симулация на нарушение:
- Използване на непропълнати контейнировани уязвимости
🛡️ Техники на защита:
- Централизирано докладване с OWASP DefectDojo
- Сканиране на контейнири с Trivy
🧪 Лабораторен работа: Създаване на реални табло за докладване на CISO/експлойтацията
🏁 Конкурс: “Триаж 50 открития по-бързо от съперниците ви”
5. Fire Drill за тайни и конфигурация
💣 Симулация на нарушение:
- Екстрактиране на тайни от историята в Git с truffleHog
🛡️ Техники на защита:
- Прехвърляне на пред-комит хуки, за да блокирате шаблони като
password=.* - Използване на конфигурационната паук на ZAP, за да изложите опасни настройки
🧪 Лабораторен работа: Реализиране на сканироване на GitHub Actions тайни
🚨 Реална проверка: “Паролата ви за база данни е в Slack в момента”
6. Завършване: Битен план на DevSecOps
🧭 OWASP Рута за интеграция:
- Планирайте вашата интеграция в DefectDojo, Dependency-Track и ZAP
📋 Личен план на действия:
- Съставете 30-дневната си чек листа за сигурност
- Дефинирайте KPI и табло за докладване в DevSecOps
Изисквания
Основен опит в софтуер и SDLC
Целева група
Инженери DevOps, Сигурност и Облак, които не харесват теоретични разговори за сигурността
Отзиви от потребители (1)
Имахме много praktichni упражнения, които бяха надзирани и подпомагани от инструктора.
Aleksandra - Fundacja PTA
Курс - Mastering Make: Advanced Workflow Automation and Optimization
Машинен превод