SonarQube a biztonságos SDLC és az Azure DevOps számára Képzés

1. A statisztikus kódelemzés fogalma és határa

• Definiálások: statisztikus elemzés, SAST, szabálykategóriák és súlyosság
• A statisztikus elemzés határa a biztonságos SDLC-ben és a kockázatlefedettség
• Hogyan illeszkedik a SonarQube a biztonsági kontrollök és a fejlesztői munkafolyamatok közé

2. SonarQube áttekintés: Funkciók és architektúra

• Alapvető szolgáltatások, adatbázis és szkennelőkomponensek
• Minőségi kapuk, minőségi profilok és a minőségi kapuk best practice-jei
• Biztonsági kapcsolódású funkciók: sérülékenységek, SAST szabályok és CWE-leképezés

3. Navigálás a SonarQube szerver UI-jában

• Szerver UI túra: projektek, hibák, szabályok, mutatók és kormányzati nézetek
• Hibalapok értelmezése, nyomon követés és javítási útmutatók
• Jelentés-generálás és exportálás lehetőségei

4. SonarScanner konfigurálás build eszközökkel

• SonarScanner beállítása Maven, Gradle, Ant és MSBuild esetében
• Best practice-ek a szkennelő tulajdonságaihoz, kizárásokhoz és többmodulos projektekhez
• Szükséges tesztek adatainak és lefedettség-jelentéseknek generálása a pontos elemzéshez

5. Integrálás az Azure DevOps-szal

• SonarQube szolgáltatáskapcsolatok konfigurálása az Azure DevOps-ban
• SonarQube feladatok hozzáadása az Azure Pipelines-ba és PR díszítés
• Azure Repos importálása a SonarQubéba és az elemzések automatizálása

6. Projektkonfiguráció és harmadik féltől származó analizátorok

• Projektszintű minőségi profilok és szabályválasztás Java és Angular esetében
• Munka harmadik féltől származó analizátorokkal és a bővítmények életciklusával
• Elemzési paraméterek definiálása és paraméter-öröklés

7. Szerepek, felelősségi körök és biztonságos fejlesztési módszertan áttekintése

• Szerepek szétválasztása: fejlesztők, ellenőrök, DevOps, biztonsági felelős
• Szerepek és felelősségi körök mátrixa építése CI/CD folyamatokhoz
• Meglévő biztonságos fejlesztési módszertan áttekintése és ajánlások

8. Haladó: Szabályok hozzáadása, finomhangolás és a globális biztonsági funkciók javítása

• A SonarQube Web API használata egyedi szabályok hozzáadásához és kezeléséhez
• Minőségi kapuk és automatizált szabályok érvényesítésének beállítása
• SonarQube szerver biztonsági megerősítése és hozzáférés-kezelési best practice-ek

9. Gyakorlati labor szekciók (Alkalmazott)

• Labor A: SonarScanner konfigurálása 5 Java-tárhoz (Quarkus, ha alkalmazható) és eredmények elemzése
• Labor B: Sonar elemzés konfigurálása 1 Angular front-end-hez és megállapítások értelmezése
• Labor C: Teljes csatorna labor – SonarQube integrálása Azure DevOps csatornába és PR díszítés engedélyezése

10. Tesztelés, hibaelhárítás és jelentések értelmezése

• Stratégiák a tesztadatok generálásához és a lefedettség méréséhez
• Gyakori hibák és szkennelő, csatorna vagy jogosultsági hibák elhárítása
• Milyen módon olvassuk el és prezentáljuk a SonarQube jelentéseket technikai és nem technikai érdekelt feleknek

11. Best practice-ek és ajánlások

• Szabálykészlet-választás és inkrementális érvényesítési stratégiák
• Munkafolyamat-ajánlások fejlesztőknek, ellenőröknek és build csatornáknak
• Úttérkép a SonarQube skálázásához vállalati környezetben

Összefoglalás és következő lépések