Улучшаемые навыки
CI/CD
Jenkins
Git
Docker
Kubernetes
SAST
DAST
Безопасность веб-приложений
ГОСТ Р56939-2024
Clair
Trivy
Инструменты
Docker
Kubernetes
Jenkins
Чему вы научитесь
01
Осваивать инструменты DevSecOps для повышения безопасности приложений.
02
Интегрировать безопасность на всех этапах разработки через CI/CD.
03
Использовать методы анализа кода и инфраструктуры для выявления уязвимостей.
04
Настраивать безопасные конвейеры для развертывания ПО.
05
Реализовывать тестирование уязвимостей с использованием доступных инструментов.
Программа курса
Культура DevSecOps: DevOps+безопасность.
Нормативная база.
02
Безопасность инфраструктуры.
Безопасная настройка ОС Linux.
Настройка привилегированных учетных записей.
Поднятие привилегий.
Безопасная настройка сети.
Защита на периметре и внутри сети.
Средства межсетевого экранирования, IDS, NGFW, WAF, PAM.
03
Безопасность сред контейнеризации
Безопасная работа с Docker.
Настройки среды контейнеризации.
Создание образов.
Оптимизация инструкций.
Настройка аккаунта для работы в контейнере.
Использование линтеров.
Сканирование на уязвимости.
Сетевое взаимодействие между контейнерами.
Обеспечение безопасности в Kubernetes.
Пространства имен.
Ролевая модель управления доступом.
Pod Security Admission.
Защита etcd.
Безопасность транспортного уровня.
Сети Istio.
04
Безопасность веб-приложений.
Уязвимости OWASP TOP-10
Безопасность веб-приложений.
Уязвимости OWASP TOP-10.
Практика: сканирование тестового уязвимого приложения на уязвимости.
Эксплуатация найденных уязвимостей. XSS, SQL инъекции, некорректные настройки безопасности веб ресурсов.
Рассмотрение способов закрытия найденных уязвимостей.
CI/CD
Непрерывная интеграция.
Этапы работы конвейера CI/CD.
Болевые точки CI/CD.
12 факторов для эффективной разработки.
Безопасность CI/CD.
Основные инструменты.
Jenkins.
06
Безопасность на этапе разработки ПО
Конфигурации. IaC.
Документирование.
Практика: работа с Git. Работа с Ansible. Использование анализаторов исходного кода для различных языков программирования. Создание соответствующей задачи в конвейере Jenkins.
07
Безопасность на этапе тестирования
Модель качества.
Виды тестов, фаззинг, DAST, IAST, инструментация, Quality Gate.
Сканирование приложения на уязвимости.
08
Безопасность на этапе выпуска и эксплуатации
Continuous Delivery, Continuous Deployment.
Безопасность на этапе выпуска.
Безопасное хранение артефактов, Обеспечение надежности при непрерывной доставке и развертывании. Мониторинг безопасности работы приложения.
Решения класса SIEM, EDR.
Архитектура и основные принципы работы SIEM Wazuh.
Демонстрация работы Wazuh.
Будущее DevSecOps
Перспективы развития DevSecOps.
Тенденции на рынке ГОСТ Р56939 в новой редакции 2024
10
Итого на курс 32 ак. ч.: теория — 15 ак. ч. (47%), практика — 17 ак. ч. (53%)
Для кого
Разработчик
DevOps-инженер
Специалист по кибербезопасности
Предварительная подготовка
Основное требование: базовые знания в области разработки ПО и администрирования инфраструктуры.
Желательно, но не обязательно: предварительное знакомство с инструментами CI/CD (Jenkins, Git) и контейнеризацией (Docker, Kubernetes).