Đề cương khóa học
1. Cơ sở DevSecOps: Bảo mật trong Thiết kế
🔍 Học: Nguyên tắc cơ bản của DevSecOps và chu trình phát triển phần mềm an toàn (secure SDLC)
🛠️ Demo: So sánh song song giữa các đường ống truyền thống và hiện đại
🔧 Lab: Tạo mẫu đường ống đầu tiên được hỗ trợ bởi DevSecOps
2. OWASP Bootcamp Kiểm thử Bảo mật ZAP
💣 Mô phỏng Lỗ Hổng:
- Triển khai ứng dụng dễ bị tổn thương với SQLi và XSS
- Sử dụng OWASP ZAP để phát hiện và giảm thiểu mối đe dọa
⚙️ Chiến thuật phòng thủ:
- Kiểm tra tự động bằng ZAP
- Tích hợp CI/CD thông qua API của ZAP
🧪 Lab: Tùy chỉnh quét cơ sở và quy tắc tấn công của ZAP
🎯 Thách thức: “Tìm giao diện quản trị ẩn trong 10 phút”
3.Hell phụ thuộc: Phòng thủ chuỗi cung ứng
💣 Mô phỏng Lỗ Hổng:
- Chèn gói npm độc hại với CVEs
🛡️ Chiến thuật phòng thủ:
- Theo dõi lỗ hổng với OWASP Dependency-Track
- Áp dụng các cổng chính sách khiến xây dựng thất bại khi có CVE quan trọng
🧪 Lab: Tạo chính sách và quy trình cảnh báo về lỗ hổng
⚠️ Demo Kinh hoàng: “Làm thế nào một phụ thuộc độc hại có thể kiểm soát cơ sở hạ tầng của bạn”
4. Phòng Trận Lỗ Hổng Management
💣 Mô phỏng Lỗ Hổng:
- Lợi dụng các lỗ hổng của container chưa được vá
🛡️ Chiến thuật phòng thủ:
- Tập trung báo cáo với OWASP DefectDojo
- Kiểm tra container bằng Trivy
🧪 Lab: Xây dựng bảng điều khiển thực tế cho báo cáo của CISO và cấp quản lý
🏁 Cuộc đua: “Phân loại 50 phát hiện nhanh hơn đối thủ”
5. Tập huấn về Mật khẩu và Cấu hình
💣 Mô phỏng Lỗ Hổng:
- Miễn cưỡng tiết lộ mật khẩu từ lịch sử Git bằng truffleHog
🛡️ Chiến thuật phòng thủ:
- Các hook trước khi commit để chặn mẫu như
password=.*
- Sử dụng con bọ cấu hình của ZAP để tìm ra các cài đặt nguy hiểm
🧪 Lab: Triển khai quét Actions mật khẩu GitHub
🚨 Kiểm tra Thực tế: “Mật khẩu cơ sở dữ liệu của bạn đang ở trong Slack ngay bây giờ”
6. Tổng Kết: Kế Hoạch Chiến Dịch DevSecOps
🧭 OWASP Đường Lộ Tích Hợp:
- Lập kế hoạch triển khai DefectDojo, Dependency-Track và ZAP của bạn
📋 Kế Hoạch Cá Nhân:
- Tạo danh sách kiểm tra bảo mật 30 ngày
- Xác định các chỉ số hiệu suất chính DevSecOps và bảng điều khiển báo cáo
Requirements
Kinh nghiệm về phần mềm nền tảng và quy trình phát triển phần mềm (SDLC)
Đối tượng
DevOps, Kỹ sư An toàn & Mây không thích các bài giảng lý thuyết về an toàn
Testimonials (1)
Có nhiều bài tập thực hành được hướng dẫn và hỗ trợ bởi giảng viên.
Aleksandra - Fundacja PTA
Course - Mastering Make: Advanced Workflow Automation and Optimization
Machine Translated