Návrh Školení
1. Základy DevSecOps: Bezpečnost v návrhu
🔍 Srozumit: Klíčové principy DevSecOps a bezpečného SDLC
🛠️ Ukázka: Porovnání tradičních proti moderním bezpečným potrubím vedle sebe
🔧 Laboratoř: Vytvořte své první šablonu potrubí s povolenými DevSecOps
2. OWASP ZAP Security Testing Bootcamp
💣 Simulace útoku:
- Nastavte zranitelnou aplikaci s SQLi a XSS
- Použijte OWASP ZAP k detekci a minimalizaci hrozeb
⚙️ Taktiky obrany:
- Automatické skenování pomocí ZAP
- Konzolidační integrace prostřednictvím API ZAP
🧪 Laboratoř: Vlastnoruční úprava základních scanů ZAP a pravidel útoku
🎯 Výzva: “Najděte skrytou správnickou panel v 10 minutách”
3. Závislostní peklo: Obrana dodavatelského řetězu
💣 Simulace útoku:
- Vložení škodlivých balíčků npm s CVEs
🛡️ Taktiky obrany:
- Sledování choulostivostí pomocí OWASP Dependency-Track
- Nakládání s pravidly, které selžou výstavbě na kritických CVEs
🧪 Laboratoř: Vytvořte politiky choulostivostí a pracovní postupy pro upozornění
⚠️ Schockující ukázka: “Jak jedna špatná závislost může ovládnout vaši infrastrukturu”
4. Management Dvůr nebezpečí
💣 Simulace útoku:
- Vykořisťování neopravených chyb ve kontejnerech
🛡️ Taktiky obrany:
- Konzolidační hlášení pomocí OWASP DefectDojo
- Skenování kontejnerů s Trivy
🧪 Laboratoř: Vytvořte opravdové dashboardy pro zprávy CISO a výkonných ředitelů
🏁 Soutěž: “Klasifikujte 50 nalezení rychleji než vaši soupeři”
5. Řev výstrahy tajemství a konfigurace
💣 Simulace útoku:
- Exfiltrace tajemství z historie Git pomocí truffleHog
🛡️ Taktiky obrany:
- Předzáznamové háčky na blokování vzorů jako
password=.*
- Použití konfiguračního pavouka ZAP k odhalení nebezpečných nastavení
🧪 Laboratoř: Implementace GitHub skenování akci tajemství
🚨 Reality Check: “Heslo k vaší databázi je v Slack právě teď”
6. Závěr: DevSecOps bojový plán
🧭 OWASP Cesta k integraci:
- Plánujte své přijetí DefectDojo, Dependency-Track a ZAP
📋 Osobní plán akce:
- Naskicujte svoji 30denní kontrolní seznam bezpečnosti
- Definujte své DevSecOps KPIs a dashboardy pro zprávy
Požadavky
Zakladní zkušenosti s softwarovými nástroji a procesem SDLC
Cílová skupina
DevOps, inženýři pro bezpečnost a cloud, kteří nechtějí teoretické přednášky o bezpečnosti
Reference (1)
Bylo zde mnoho praktických cvičení, která prováděl a pomáhal s nimi trénér.
Aleksandra - Fundacja PTA
Kurz - Mastering Make: Advanced Workflow Automation and Optimization
Machine Translated