SonarQube pro bezpečný SDLC a Azure DevOps Počítačový Kurz

1. Koncepty a rozsah statické analýzy kódu

• Definice: statická analýza, SAST, kategorie pravidel a závažnost
• Rozsah statické analýzy v bezpečném SDLC a pokrytí rizik
• Jak SonarQube zapadá do bezpečnostních kontrol a vývojářských workflow

2. Přehled SonarQube: Funkce a architektura

• Základní služby, databáze a komponenty skeneru
• Kvalitní brány, Profily kvality a nejlepší postupy pro kvalitní brány
• Funkce související s bezpečností: zranitelnosti, SAST pravidla a mapování CWE

3. Navigace a použití uživatelského rozhraní SonarQube Serveru

• Ukázková prohlídka UI Serveru: projekty, problémy, pravidla, měření a pohledy na řízení
• Interpretace stránek s problémy, srozumitelnost a návody k nápravě
• Generování a možnosti exportu reportů

4. Konfigurace SonarScanner s nástroji pro sestavení

• Nastavení SonarScanner pro Maven, Gradle, Ant a MSBuild
• Nejlepší postupy pro vlastnosti skeneru, vyloučení a multi-modulové projekty
• Generování nezbytných testovacích dat a zpráv o pokrytí pro přesnou analýzu

5. Integrace s Azure DevOps

• Konfigurace servisních připojení SonarQube v Azure DevOps
• Přidávání úloh SonarQube do Azure Pipelines a dekorace PR (Pull Requests)
• Import Azure Repos do SonarQube a automatizace analýz

6. Konfigurace projektu a třetí strany analyzátory

• Profil kvality na úrovni projektu a výběr pravidel pro Java a Angular
• Práce s analyzátory třetích stran a životním cyklem pluginů
• Definování parametrů analýzy a dědičnosti parametrů

7. Role, odpovědnosti a rešerch metodologie bezpečného vývoje

• Rozdělení rolí: vývojáři, recenzenti, DevOps, bezpečnostní vlastníci
• Sestavení matice rolí a odpovědností pro procesy CI/CD
• Rešerch a doporučení procesu pro existující metodologii bezpečného vývoje

8. Pokročilé: Přidávání pravidel, doladění a posílení globálních bezpečnostních funkcí

• Použití SonarQube Web API pro přidávání a správu vlastních pravidel
• Ajustace kvalitních bran a automatizované vynucování politik
• Posílení bezpečnosti serveru SonarQube a nejlepší postupy pro řízení přístupu

9. Praktické laboratorní sezení (aplikace)

• Lab A: Konfigurace SonarScanner pro 5 Java repozitářů (Quarkus pokud je možné) a analýza výsledků
• Lab B: Konfigurace Sonar analýzy pro 1 Angular front-end a interpretace zjištění
• Lab C: Plná pipeline laboratoř—integrace SonarQube s pipeline Azure DevOps a povolení dekorace PR

10. Testování, odstraňování potíží a interpretace reportů

• Strategie generování testovacích dat a měření pokrytí
• Časté problémy a odstraňování chyb skeneru, pipeline a oprávnění
• Jak číst a prezentovat zprávy SonarQube technickým a netechnickým stakeholderům

11. Nejlepší postupy a doporučení

• Výběr sady pravidel a strategie postupného vynucování
• Doporučení workflow pro vývojáře, recenzenty a pipeline sestavení
• Podmínka škálování SonarQube v podnikovém prostředí

Shrnutí a další kroky