Plan Szkolenia
1. Podstawy DevSecOps: Bezpieczeństwo od początku
🔍 Naucz się: podstawowych zasad DevSecOps i bezpiecznego SDLC
🛠️ Prezentacja: Porównanie bok obok starszych i nowoczesnych bezpiecznych potoków
🔧 Laboratorium: Stwórz swój pierwszy szablon potoku włączony DevSecOps
2. Bootcamp testowania bezpieczeństwa OWASP ZAP
💣 Symulacja naruszenia:
- Wdrożenie podatnej aplikacji z SQLi i XSS
- Korzystanie z OWASP ZAP do wykrywania i łagodzenia zagrożeń
⚙️ Taktiki obronne:
- Automatyczne skanowanie za pomocą ZAP
- Integracja CI/CD poprzez API ZAP
🧪 Laboratorium: Dostosuj bazowe skany i reguły ataków w ZAP
🎯 Wyzwanie: “Znajdź ukryty panel administratora w 10 minut”
3. Piekielna zależność: Obrona łańcucha dostaw
💣 Symulacja naruszenia:
- Wprowadzenie złośliwego pakietu npm z CVEs
🛡️ Taktiki obronne:
- Monitorowanie podatności za pomocą OWASP Dependency-Track
- Wymuszanie zasad, które powodują niepowodzenie budowy przy krytycznych CVEs
🧪 Laboratorium: Stwórz polityki podatności i przepływy alertów
⚠️ Szokująca prezentacja: “Jak jedna zła zależność może przejąć Twoją infrastrukturę”
4. Sala wojenna zarządzania podatnościami
💣 Symulacja naruszenia:
- Korzystanie z niezaaktualizowanych podatności kontenerów
🛡️ Taktiki obronne:
- Centralizacja raportowania za pomocą OWASP DefectDojo
- Skanowanie kontenerów za pomocą Trivy
🧪 Laboratorium: Stwórz prawdziwe pulpity nawigacyjne dla raportowania CISO/kierownictwa
🏁 Konkurs: “Priorytetyzacja 50 znalezisk szybciej niż rywale”
5. Trening pożarowy tajemnic i konfiguracji
💣 Symulacja naruszenia:
- Eksfiltracja tajemnic z historii Git za pomocą truffleHog
🛡️ Taktiki obronne:
- Pre-commit hooki blokujące wzorce takie jak
password=.* - Korzystanie z konfiguracyjnego spidera ZAP, aby wychwycić niebezpieczne ustawienia
🧪 Laboratorium: Implementacja skanowania tajemnic GitHub Actions
🚨 Sprawdzenie rzeczywistości: “Twoje hasło do bazy danych jest teraz w Slacku”
6. Podsumowanie: Plan walki DevSecOps
🧭 Mapa integracji OWASP:
- Zaplanuj swoje przyjęcie DefectDojo, Dependency-Track i ZAP
📋 Indywidualny plan działania:
- Wydaj listę sprawdzenia bezpieczeństwa na 30 dni
- Zdefiniuj swoje KPI DevSecOps i pulpity nawigacyjne raportowania
Wymagania
Podstawowe doświadczenie w oprogramowaniu i cyklu życia oprogramowania (SDLC)
Odbiorcy
Inżynierowie DevOps, Security & Cloud, którzy nienawidzą teoretycznych rozmów o bezpieczeństwie
Opinie uczestników (1)
Było wiele praktycznych ćwiczeń nadzorowanych i wspomaganych przez trenera
Aleksandra - Fundacja PTA
Szkolenie - Mastering Make: Advanced Workflow Automation and Optimization
Przetłumaczone przez sztuczną inteligencję