Struttura del corso
1. Fondamenti del DevSecOps: Sicurezza per progettazione
🔍 Imparare: Principi fondamentali del DevSecOps e SDLC sicura
🛠️ Demo: Confronto a confronto tra pipeline legacy e moderne sicure
🔧 Lab: Costruire il tuo primo template di pipeline abilitato per DevSecOps
2. Bootcamp di testing della sicurezza OWASP ZAP
💣 Simulazione di violazione:
- Distribuire un'app vulnerabile con SQLi e XSS
- Utilizzare OWASP ZAP per rilevare e mitigare le minacce
⚙️ Tattiche di difesa:
- Scansione automatizzata con ZAP
- Integrazione CI/CD tramite API ZAP
🧪 Lab: Personalizzare le scansioni di base e le regole di attacco di ZAP
🎯 Sfida: “Trova il pannello amministrativo nascosto in 10 minuti”
3. Dependency Hell: Difesa della catena di approvvigionamento
💣 Simulazione di violazione:
- Iniettare un pacchetto npm malintenzionato con CVEs
🛡️ Tattiche di difesa:
- Monitorare le vulnerabilità con OWASP Dependency-Track
- Eseguire politiche che interrompono i build su CVE critiche
🧪 Lab: Creare politiche di vulnerabilità e flussi di lavoro di allerta
⚠️ Demo sorprendente: “Come una dipendenza cattiva può compromettere la tua infrastruttura”
4. Stanza delle operazioni per la gestione delle vulnerabilità
💣 Simulazione di violazione:
- Sfruttare vulnerabilità non patchate nei container
🛡️ Tattiche di difesa:
- Centralizzare i report con OWASP DefectDojo
- Scansionare i container con Trivy
🧪 Lab: Creare dashboard reali per il reporting al CISO/esecutivi
🏁 Competizione: “Triagare 50 risultati più velocemente dei tuoi rivali”
5. Drill di sicurezza e configurazione
💣 Simulazione di violazione:
- Estrai segreti dalla cronologia Git usando truffleHog
🛡️ Tattiche di difesa:
- Pre-commit hooks per bloccare pattern come
password=.* - Utilizzare ZAP’s config spider per evidenziare impostazioni pericolose
🧪 Lab: Implementare lo scanning dei segreti con GitHub Actions
🚨 Verifica della realtà: “La password del tuo database è su Slack proprio ora”
6. Conclusioni: Piano di battaglia DevSecOps
🧭 Roadmap di integrazione OWASP:
- Pianificare l'adozione di DefectDojo, Dependency-Track e ZAP
📋 Piano d'azione personale:
- Redigere il tuo checklist della sicurezza a 30 giorni
- Definire i KPI del DevSecOps e i dashboard di reporting
Requisiti
Esperienza fondamentale in software e ciclo di vita dello sviluppo (SDLC)
Pubblico di riferimento
Ingegneri DevOps, Sicurezza e Cloud che odiano le discussioni teoriche sulla sicurezza
Recensioni (1)
Ci sono stati molti esercizi pratici supervisionati e assistiti dal formatore
Aleksandra - Fundacja PTA
Corso - Mastering Make: Advanced Workflow Automation and Optimization
Traduzione automatica