Návrh Školení
1. Základy DevSecOps: Bezpečnost od začátku
🔍 Naučíte se: Klíčové principy DevSecOps a bezpečný SDLC
🛠️ Demo: Porovnání tradičních a moderních bezpečných potoků
🔧 Laboratoř: Vytvoření první DevSecOps-povolené šablony potoku
2. OWASP ZAP Security Testing Bootcamp
💣 Simulace útoku:
- Nasazení zranitelné aplikace s SQLi a XSS
- Použití OWASP ZAP k detekci a eliminaci hrozeb
⚙️ Obranné taktiky:
- Automatizované skenování pomocí ZAP
- Integrace do CI/CD prostřednictvím ZAP API
🧪 Laboratoř: Přizpůsobení základních scanů a pravidel útoku v ZAP
🎯 Výzva: “Najděte skrytou administrativní panel za 10 minut”
3. Dependency Hell: Obrana dodavatelského řetězce
💣 Simulace útoku:
- Injektování zlovolného npm balíčku s CVEs
🛡️ Obranné taktiky:
- Sledování zranitelností pomocí OWASP Dependency-Track
- Provedení pravidel, které selhávají při kritických CVEs
🧪 Laboratoř: Vytvoření politik zranitelností a pracovních postupů upozornění
⚠️ Šokující demo: “Jak jedno špatné závislosti může ovládat vaši infrastrukturu”
4. War Room pro správu zranitelností
💣 Simulace útoku:
- Využití nezabalených zranitelností kontejnerů
🛡️ Obranné taktiky:
- Centralizace reportů pomocí OWASP DefectDojo
- Skenování kontejnerů pomocí Trivy
🧪 Laboratoř: Vytvoření skutečných dashboardů pro reporting CISO/exekutiva
🏁 Soutěž: “Rozdělení 50 nalezených zranitelností rychleji než vaši konkurenci”
5. Fire Drill tajných klíčů a konfigurace
💣 Simulace útoku:
- Vytažení tajných klíčů z historie Git pomocí truffleHog
🛡️ Obranné taktiky:
- Pre-commit haken pro blokování vzorů jako
password=.* - Použití ZAP config spider k odhalení nebezpečných nastavení
🧪 Laboratoř: Implementace GitHub Actions skenování tajných klíčů
🚨 Reality Check: “Vaše databázové heslo je právě teď v Slack”
6. Závěr: DevSecOps Bojový plán
🧭 OWASP Integrace roadmapy:
- Vytvoření plánu pro nasazení DefectDojo, Dependency-Track a ZAP
📋 Osobní akční plán:
- Vytvoření 30-denní bezpečnostní checklisty
- Definování DevSecOps KPIs a reporting dashboardů
Požadavky
Základní zkušenosti se softwarem a SDLC (Software Development Life Cycle)
Cílová skupina
DevOps, bezpečnostní a cloudoví inženýři, kteří nemají rádi teoretické přednášky o bezpečnosti
Reference (1)
Bylo mnoho praktických cvičení, která vedl a podporoval instruktor.
Aleksandra - Fundacja PTA
Kurz - Mastering Make: Advanced Workflow Automation and Optimization
Přeloženo strojem