Kurzusleírás
1. DevSecOps alapok: Beépített biztonság a tervezéstől
🔍 Tanuld meg: A DevSecOps alapelveit és a biztonságos szoftverfejlesztési életciklust (SDLC)
🛠️ Demó: Klasszikus és modern biztonságos pipeline-ok összehasonlítása
🔧 Gyakorlat: Építsd meg első DevSecOps-alapú pipeline sablonodat
2. OWASP ZAP – Biztonsági tesztelés bootcamp
💣 Támadási szimuláció:
Sebezhető alkalmazás telepítése SQLi és XSS hibákkal
OWASP ZAP használata a fenyegetések felismerésére és enyhítésére
⚙️ Védekezési technikák:
Automatikus szkennelés ZAP segítségével
CI/CD integráció ZAP API-n keresztül
🧪 Gyakorlat: ZAP alapszintű szkennelések és támadási szabályok testreszabása
🎯 Kihívás: „Találd meg a rejtett admin felületet 10 perc alatt!”
3. Dependency Hell: Supply Chain védelem
💣 Támadási szimuláció:
Rosszindulatú npm csomag telepítése ismert sérülékenységekkel (CVE-k)
🛡️ Védekezési technikák:
Sérülékenységek nyomon követése OWASP Dependency-Track segítségével
Automatikus build-megszakítás kritikus CVE esetén
🧪 Gyakorlat: Sérülékenységi szabályok és riasztási munkafolyamatok létrehozása
⚠️ Sokkoló demó: „Hogyan vehet át egyetlen rossz függőség teljes infrastruktúrákat”
4. Sérülékenységkezelés élesben (War Room)
💣 Támadási szimuláció:
Nem frissített konténersebezhetőségek kihasználása
🛡️ Védekezési technikák:
Jelentések központosítása OWASP DefectDojo-val
Konténerek szkennelése Trivy-vel
🧪 Gyakorlat: Vezetői (CISO) dashboardok létrehozása valós adatokkal
🏁 Verseny: „Triázs 50 találat – gyorsabban, mint a többiek!”
5. Titkok és konfigurációk vészhelyzeti gyakorlata
💣 Támadási szimuláció:
Titkos adatok kiszivárogtatása Git-előzményekből truffleHog használatával
🛡️ Védekezési technikák:
Pre-commit hook-ok érzékeny minták blokkolására (pl. password=.*
)
ZAP konfigurációs feltérképezője veszélyes beállítások azonosításához
🧪 Gyakorlat: GitHub Actions alapú titokszkennelés bevezetése
🚨 Valóságteszt: „Az adatbázis-jelszavad most is ott van a Slackben...”
6. Zárás: DevSecOps haditerv
🧭 OWASP eszközök integrációs terve:
Tervezd meg a DefectDojo, Dependency-Track és ZAP használatát a saját környezetedben
📋 Személyes akcióterv:
Állítsd össze saját 30 napos biztonsági teendőlistádat
Határozd meg DevSecOps KPI-jaidat és riportálási struktúrádat
Követelmények
Alapvető szoftverfejlesztési ismeretek és jártasság a szoftverfejlesztési életciklus (SDLC) terén.
Ajánlott célcsoport
DevOps-, biztonsági és felhőmérnökök, akik a száraz elmélet helyett a gyakorlatban alkalmazható, valódi biztonsági megoldásokra kíváncsiak.
Vélemények (1)
Sok gyakorlati feladat volt a tanári figyelemmel és támogatásával
Aleksandra - Fundacja PTA
Kurzus - Mastering Make: Advanced Workflow Automation and Optimization
Gépi fordítás