academy@academyit.ru
DSO_2
Безопасная разработка
40 ак.часов
Анализ безопасности приложения: Методы защиты кода и цепочек поставок ПО
-
О КУРСЕКурс предназначен для специалистов в области информационной безопасности, DevOps инженеров, IT-специалистов, разработчиков программного обеспечения, которые хотят освоить современные методы обеспечения безопасности на всех этапах разработки и развертывания ПО. Программа охватывает ключевые подходы к обеспечению безопасности приложения на базе CI/CD и контейнеризации.
Участники курса углубят свои знания в области анализа цепочки поставок, внедрения процессов SSDLC, работы с инструментами анализа безопасности. Получат представление о современных фреймворках защиты от supply chain. Особое внимание уделяется практическим навыкам: вы научитесь настраивать, мониторить и улучшать безопасность контейнеров, защищать цепочку поставок ПО, проводить триаж уязвимостей (от фр. triage — сортировка) и адаптировать защитные меры под реальные проекты
DevOps-инженеры
Инженеры по безопасности
ИТ-руководители
Системные администраторы
Разработчики ПО
Начинающие DevSecOps-специалисты
Модуль 1. Инструментарий SSDLC
Цикл безопасной разработки на примере SSDLC
Инструменты для каждого из этапов
Выбор инструментов для своих проектов
Модуль 2. Анализ уязвимостей с помощью SCA/OSA
Введение в SCA, принципы работы и популярные инструменты
Типы уязвимостей открытого ПО
Инструменты SCA для поиска зависимостей ОС
Инструменты SCA для поиска зависимостей в контейнерах
Применение SCA для поиска зависимостей в бинарных файлах
Что такое OSA, сравнение с SCA
Модуль 3. Безопасность цепочки поставок (supply chain)
Ключевые понятия supply chain
Основные векторы атак
Стандарты и фреймворки
SBOM и подпись артефактов
Пример процесса реализации защита цепочки поставок
Модуль 4. Безопасность контейнеров (Container Sec)
Основы контейнерной безопасности
Принципы безопасности в контейнеризации
Харденинг образов
Работа с trivy image, dockle, hadolint, kics
Runtime защита
Интеграция процессов безопасности контейнеров в CI/CD (используя GitLab)
Модуль 5. Объединённые решения для управления уязвимостями (ASOC ASPM)
Основные понятия
Ключевые функции ASOC и ASPM
Приоритизация уязвимостей
Развертывание и интеграция сканеров в систему DefectDojo
Модуль 6. Триаж уязвимостей
Что такое триаж, зачем он нужен
Критерии оценки уязвимостей
Методологии и стратегии проведения
Верификация обнаруженных файдингов
-
Получаемый документ
-
Для успешного прохождения курса необходимы:
- базовые знания в области программирования и разработки программного обеспечения
- понимание основ работы с контейнерами и системами управления версиями (например, Git)
- основы информационной безопасности и знакомство с такими концепциями, как уязвимости и методы атаки
-
По окончании курса слушатели смогут:
◉ понимать и интегрировать инструменты безопасности в существующий SSDLC
◉ применять инструменты анализа зависимостей программного обеспечения и среды окружения – контейнеры, ОС
◉ обеспечивать защиту цепочки поставок ПО, используя современные фреймворки
◉ разрабатывать и внедрять практики безопасности и интегрировать их в существующие процессы
◉ работать с объединёнными решениями для управления уязвимостями и интегрировать сканеры в такие системы, на примере DefectDojo
◉ проводить триаж уязвимостей
