Целевая аудитория

Разработчики, будущие Security Champions в командах разработки

Программа

  • Модуль 1. Основные понятия процесса DevSecOps и подходы к его построению

    • анализ кода, управление изменениями, мониторинг соотвествия, иследование угроз безопасности, оценка уязвимости кода, обучение и повышение осведомленности)

    • этапы DevSecOps (разработка приложения и работа с репозиторием программ, непрерывная интеграция (CI) и тестирование приложения, непрерывное развертывание (CD) приложения в рабочей среде, контроль новой версии приложения в рабочей среде).

    • сценарии интеграции DevSecOps в процессы и инфраструктуру компании.

    • ключевые точки процесса разработки, где необходимо включение мер безопасности.

  • Модуль 2. Основные практики Application Security, их применение и особенности

    • Контроль компонент с открытым исходным кодом при попадании в периметр разработки (Open Source Analysis, OSA)

    • Статический анализ кода (Static Application Security Testing, SAST).

    • Динамический анализ кода (Dynamic Application Security Testing, DAST/Interactive Application Security Testing, IAST/Behavioral Application Security Testing, BAST).

    • Реализация WAF (Web Application Firewall) и др. технических мер безопасности.

  • Модуль 3. Основные аспекты построения процесса безопасной разработки и его применения на реальных примерах

  • Модуль 4. Введение в DevOps (методология, основные понятия, инструменты).

    • Организация документального обеспечения процесса devOps

    • Обзор методологий создания ПО, встраивание вопросов информационной безопасности в рамках рассматриваемых методологий: Waterfall; RUP; MSF; Agile-методологии (Scrum, Kanban).

    • Руководство взаимодействием команд и между командами.

    • Инструментарий DevOps инженера

    • Базовые инструменты DevOps.

    • Микросервисы и принципы контейнеризации

  • Модуль 5. Application Security – объяснение, основные методологии, подход к построению, внедрение в процесс непрерывной разработки

    • DevSecOps-оркестрация (Application Security Testing Orchestration, ASTO) для непрерывного улучшения процесса разработки безопасного ПО.

  • Модуль 6. SAST, DAST – определение, назначение, интеграция в CI/CD.

    • Статический анализ на безопасность исходного кода (SAST)

    • Анализ исходного кода на безопасность (SAST/ DAST/IAST)

    • Интеграция технологических практик ИБ в начало конвейера

  • Модуль 7. Open Source –преимущества и недостатки

    • Безопасность данных

    • Кастомизация

    • Экономия средств

    • Плагиат

    • Уязвимости

  • Модуль 8. Угрозы ИБ и способы их устранения через проверки в CI/CD

    • Моделирование угроз

    • Безопасность коммитов

    • Git

    • Библиотеки

    • Мониторинг

    • Обеспечение безопасности учетных данных

  • Модуль 9. Анализ контейнеров – задачи, инструменты, подход к интеграции в CI/CD

  • Модуль 10. Особенности разработки мобильных приложений