Plan du cours
1. Fondements du DevSecOps : Sécurité par conception
🔍 Apprenez : Principes fondamentaux du DevSecOps et cycle de développement sécurisé (SDLC)
🛠️ Démonstration : Comparaison côte à côte des pipelines legacy et modernes sécurisés
🔧 Laboratoire : Construisez votre premier modèle de pipeline DevSecOps
2. Bootcamp de tests de sécurité OWASP ZAP
💣 Simulation de violation :
- Déployez une application vulnérable avec SQLi et XSS
- Utilisez OWASP ZAP pour détecter et atténuer les menaces
⚙️ Tactiques de défense :
- Scanning automatique avec ZAP
- Intégration CI/CD via l'API ZAP
🧪 Laboratoire : Personnalisez les scans de base et les règles d’attaque de ZAP
🎯 Défi : « Trouvez le panneau d’administration caché en 10 minutes »
3. Enfer des dépendances : Défense de la chaîne d'approvisionnement
💣 Simulation de violation :
- Injection de paquet npm malveillant avec CVEs
🛡️ Tactiques de défense :
- Surveillance des vulnérabilités avec OWASP Dependency-Track
- Mise en place de portes de politique qui échouent les builds sur CVEs critiques
🧪 Laboratoire : Créez des politiques de vulnérabilité et des flux de travail d’alerte
⚠️ Démonstration choquante : « Comment une mauvaise dépendance peut compromettre votre infrastructure »
4. Centre de gestion des vulnérabilités
💣 Simulation de violation :
- Exploitez les vulnérabilités non corrigées des conteneurs
🛡️ Tactiques de défense :
- Centralisez le reporting avec OWASP DefectDojo
- Scannez les conteneurs avec Trivy
🧪 Laboratoire : Construisez des tableaux de bord réels pour le reporting CISO/exécutif
🏁 Compétition : « Traitez 50 résultats plus rapidement que vos concurrents »
5. Drill d’urgence sur les secrets et la configuration
💣 Simulation de violation :
- Exfiltrez des secrets à partir de l'historique Git en utilisant truffleHog
🛡️ Tactiques de défense :
- Hooks pré-commit pour bloquer les motifs comme
password=.* - Utilisez la config spider de ZAP pour détecter les paramètres dangereux
🧪 Laboratoire : Implémentez des scannings de secrets avec GitHub Actions
🚨 Vérification de réalité : « Votre mot de passe de base de données est actuellement dans Slack »
6. Clôture : Plan de bataille DevSecOps
🧭 Feuille de route d’intégration OWASP :
- Planifiez votre adoption de DefectDojo, Dependency-Track et ZAP
📋 Plan d’action personnel :
- Rédigez votre liste de contrôle de sécurité pour 30 jours
- Définissez vos KPIs DevSecOps et tableaux de bord de reporting
Pré requis
Expérience de base en développement logiciel et cycle de vie du développement (SDLC)
Publique visée
Ingenieurs DevOps, de la sécurité et du cloud qui détestent les discussions théoriques sur la sécurité
Nos clients témoignent (1)
Il y avait de nombreux exercices pratiques supervisés et assistés par le formateur
Aleksandra - Fundacja PTA
Formation - Mastering Make: Advanced Workflow Automation and Optimization
Traduction automatique