SECR-013 Практическое внедрение DevSecOps-инструментов в процессы разработки ПО

Защитите свои проекты на всех этапах разработки, обучившись навыкам внедрения DevSecOps. Узнайте, как интегрировать безопасность в CI/CD конвейеры и сканировать уязвимости. Практические задания помогут вам стать экспертом в области обеспечения безопасности программного обеспечения.

• Культура DevSecOps: DevOps+безопасность.
• Нормативная база.
• Безопасная настройка ОС Linux.
• Настройка привилегированных учетных записей.
• Поднятие привилегий.
• Безопасная настройка сети.
• Защита на периметре и внутри сети.
• Средства межсетевого экранирования, IDS, NGFW, WAF, PAM.
• Безопасная работа с Docker.
• Настройки среды контейнеризации.
• Создание образов.
• Оптимизация инструкций.
• Настройка аккаунта для работы в контейнере.
• Использование линтеров.
• Сканирование на уязвимости.
• Сетевое взаимодействие между контейнерами.
• Обеспечение безопасности в Kubernetes.
• Пространства имен.
• Ролевая модель управления доступом.
• Pod Security Admission.
• Защита etcd.
• Безопасность транспортного уровня.
• Сети Istio.
• Уязвимости OWASP TOP-10.
• Безопасность веб-приложений.
• Практика: сканирование тестового уязвимого приложения на уязвимости.
• Эксплуатация найденных уязвимостей.
• XSS, SQL инъекции, некорректные настройки безопасности веб-ресурсов.
• Рассмотрение способов закрытия найденных уязвимостей.
• CI/CD. Непрерывная интеграция.
• Этапы работы конвейера CI/CD.
• Болевые точки CI/CD.
• 12 факторов для эффективной разработки.
• Безопасность CI/CD.
• Основные инструменты. Jenkins.
• Конфигурации. IaC. Документирование.
• Практика: работа с Git.
• Работа с Ansible.
• Использование анализаторов исходного кода для различных языков программирования.
• Создание соответствующей задачи в конвейере Jenkins.
• Модель качества.
• Виды тестов, фаззинг, DAST, IAST, инструментация, Quality Gate.
• Сканирование приложения на уязвимости.
• Continuous Delivery, Continuous Deployment.
• Безопасность на этапе выпуска.
• Безопасное хранение артефактов.
• Обеспечение надежности при непрерывной доставке и развертывании.
• Мониторинг безопасности работы приложения.
• Решения класса SIEM, EDR.
• Архитектура и основные принципы работы SIEM Wazuh.
• Демонстрация работы Wazuh.
• Будущее DevSecOps.
• Перспективы развития DevSecOps.
• Тенденции на рынке.
• ГОСТ Р56939 в новой редакции 2024.