SonarQube cho quy trình phát triển phần mềm an toàn (Secure SDLC) và Azure DevOps Khóa Học Đào Tạo

1. Các khái niệm và phạm vi của phân tích mã nguồn tĩnh

• Định nghĩa: phân tích tĩnh, SAST, các danh mục quy tắc và mức độ nghiêm trọng
• Phạm vi của phân tích tĩnh trong Secure SDLC và độ bao phủ rủi ro
• Cách SonarQube tích hợp vào các biện pháp kiểm soát bảo mật và quy trình làm việc của nhà phát triển

2. Tổng quan về SonarQube: Tính năng và Kiến trúc

• Các dịch vụ cốt lõi, cơ sở dữ liệu và các thành phần máy quét
• Cổng chất lượng (Quality Gates), Hồ sơ chất lượng (Quality Profiles) và các thực hành tốt nhất cho Cổng chất lượng
• Các tính năng liên quan đến bảo mật: lỗ hổng, quy tắc SAST và ánh xạ CWE

3. Điều hướng và sử dụng giao diện người dùng (UI) của máy chủ SonarQube

• Tour giao diện máy chủ: các dự án, vấn đề, quy tắc, thước đo và các góc nhìn quản trị
• Diễn giải các trang vấn đề, tính truy vết và hướng dẫn khắc phục
• Sinh báo cáo và các tùy chọn xuất

4. Cấu hình SonarScanner với các công cụ xây dựng

• Cài đặt SonarScanner cho Maven, Gradle, Ant và MSBuild
• Các thực hành tốt nhất cho thuộc tính máy quét, các ngoại lệ và các dự án đa module
• Sinh dữ liệu kiểm thử cần thiết và các báo cáo độ bao phủ để phân tích chính xác

5. Tích hợp với Azure DevOps

• Cấu hình các kết nối dịch vụ SonarQube trong Azure DevOps
• Thêm các tác vụ SonarQube vào Azure Pipelines và trang trí Pull Request (PR)
• Nhập Azure Repos vào SonarQube và tự động hóa các phân tích

6. Cấu hình dự án và các bộ phân tích bên thứ ba

• Hồ sơ chất lượng cấp dự án và lựa chọn quy tắc cho Java và Angular
• Làm việc với các bộ phân tích bên thứ ba và vòng đời plugin
• Định nghĩa các tham số phân tích và kế thừa tham số

7. Vai trò, trách nhiệm và xem xét phương pháp luận phát triển an toàn

• Tách biệt vai trò: nhà phát triển, người xem xét, DevOps, người sở hữu bảo mật
• Xây dựng ma trận vai trò & trách nhiệm cho các quy trình CI/CD
• Quy trình xem xét và khuyến nghị cho phương pháp luận phát triển an toàn hiện có

8. Nâng cao: Thêm quy tắc, tinh chỉnh và cải thiện các tính năng bảo mật toàn cục

• Sử dụng Web API của SonarQube để thêm và quản lý các quy tắc tùy chỉnh
• Điều chỉnh Cổng chất lượng và thực thi chính sách tự động
• Củng cố bảo mật máy chủ SonarQube và các thực hành tốt nhất về kiểm soát truy cập

9. Các phiên phòng thí nghiệm thực hành (Ứng dụng)

• Phòng thí nghiệm A: Cấu hình SonarScanner cho 5 kho lưu trữ Java (Quarkus khi áp dụng) và phân tích kết quả
• Phòng thí nghiệm B: Cấu hình phân tích Sonar cho 1 giao diện phía trước Angular và diễn giải kết quả tìm thấy
• Phòng thí nghiệm C: Phòng thí nghiệm pipeline đầy đủ - tích hợp SonarQube với pipeline Azure DevOps và kích hoạt trang trí PR

10. Kiểm thử, khắc phục sự cố và diễn giải báo cáo

• Các chiến lược sinh dữ liệu kiểm thử và đo lường độ bao phủ
• Các vấn đề thường gặp và khắc phục sự cố máy quét, pipeline và lỗi quyền hạn
• Cách đọc và trình bày báo cáo SonarQube cho các bên liên quan kỹ thuật và phi kỹ thuật

11. Các thực hành tốt nhất và khuyến nghị

• Lựa chọn bộ quy tắc và các chiến lược thực thi tăng dần
• Các khuyến nghị về quy trình làm việc cho nhà phát triển, người xem xét và pipeline xây dựng
• Lộ trình để mở rộng SonarQube trong các môi trường doanh nghiệp

Tóm tắt và Các bước tiếp theo