Целевая аудитория

Разработчики, будущие Security Champions в командах разработки

Программа

  • Модуль 1. Основные понятия процесса DevSecOps и подходы к его построению

    • анализ кода, управление изменениями, мониторинг соотвествия, иследование угроз безопасности, оценка уязвимости кода, обучение и повышение осведомленности)

    • этапы DevSecOps (разработка приложения и работа с репозиторием программ, непрерывная интеграция (CI) и тестирование приложения, непрерывное развертывание (CD) приложения в рабочей среде, контроль новой версии приложения в рабочей среде).

    • сценарии интеграции DevSecOps в процессы и инфраструктуру компании.

    • ключевые точки процесса разработки, где необходимо включение мер безопасности.

    • Модуль 2. Основные практики Application Security, их применение и особенности

      • Контроль компонент с открытым исходным кодом при попадании в периметр разработки (Open Source Analysis, OSA)

      • Статический анализ кода (Static Application Security Testing, SAST).

      • Динамический анализ кода (Dynamic Application Security Testing, DAST/Interactive Application Security Testing, IAST/Behavioral Application Security Testing, BAST).

      • Реализация WAF (Web Application Firewall) и др. технических мер безопасности.

      • Модуль 3. Основные аспекты построения процесса безопасной разработки и его применения на реальных примерах

        • Модуль 4. Введение в DevOps (методология, основные понятия, инструменты).

          • Организация документального обеспечения процесса devOps

          • Обзор методологий создания ПО, встраивание вопросов информационной безопасности в рамках рассматриваемых методологий: Waterfall; RUP; MSF; Agile-методологии (Scrum, Kanban).

          • Руководство взаимодействием команд и между командами.

          • Инструментарий DevOps инженера

          • Базовые инструменты DevOps.

          • Микросервисы и принципы контейнеризации

          • Модуль 5. Application Security – объяснение, основные методологии, подход к построению, внедрение в процесс непрерывной разработки

            • DevSecOps-оркестрация (Application Security Testing Orchestration, ASTO) для непрерывного улучшения процесса разработки безопасного ПО.

            • Модуль 6. SAST, DAST – определение, назначение, интеграция в CI/CD.

              • Статический анализ на безопасность исходного кода (SAST)

              • Анализ исходного кода на безопасность (SAST/ DAST/IAST)

              • Интеграция технологических практик ИБ в начало конвейера

              • Модуль 7. Open Source –преимущества и недостатки

                • Безопасность данных

                • Кастомизация

                • Экономия средств

                • Плагиат

                • Уязвимости

                • Модуль 8. Угрозы ИБ и способы их устранения через проверки в CI/CD

                  • Моделирование угроз

                  • Безопасность коммитов

                  • Git

                  • Библиотеки

                  • Мониторинг

                  • Обеспечение безопасности учетных данных

                  • Модуль 9. Анализ контейнеров – задачи, инструменты, подход к интеграции в CI/CD

                    • Модуль 10. Особенности разработки мобильных приложений