Toteutus ja työskentely DevSecOpsissa - kurssi 88 000 hieroa. Otus, koulutus 5 kuukautta, päivämäärä 30.10.2023.

Nykyään kohtaamme jatkuvasti hakkerihyökkäyksiä, sähköpostipetoksia ja tietovuotoja. Verkkotyöstä on tullut liiketoiminnan vaatimus ja uusi todellisuus. Koodin kehittämisestä ja ylläpidosta sekä infrastruktuurin suojaamisesta tietoturvaa silmällä pitäen on tulossa IT-asiantuntijoiden keskeinen vaatimus. Juuri nämä asiantuntijat ovat eniten palkattuja ja kysytyimpiä suurten työnantajien keskuudessa: Microsoft, Google, Amazon Web Services, Mail. Ru Group, Yandex, Sberbank ja muut.

Kenelle tämä kurssi on tarkoitettu?
Infrastruktuurin ja sovelluspinojen kehittäminen Agile DevOps -muutosten jatkuvassa virrassa vaatii jatkuvaa työskentelyä tietoturvatyökalujen parissa. Perinteinen kehäkeskeinen suojausmalli ei enää toimi. DevOpsissa vastuu turvallisuudesta kuuluu kaikille Dev[Sec]Ops-prosessin osallistujille.

Kurssi on tarkoitettu seuraavien profiilien asiantuntijoille:
- Kehittäjät
- DevOps-insinöörit ja järjestelmänvalvojat
- Testaajat
- Arkkitehdit
- Tietoturvan asiantuntijat
- Asiantuntijat, jotka haluavat oppia kehittämään ja ylläpitämään sovelluksia ja infrastruktuuria korkeatasoisella suojauksella ulkoisia ja sisäisiä hyökkäyksiä vastaan ​​automatisoidussa DevSecOps-prosessissa.

Kurssin tarkoitus
DevSecOpsin onnistunut käyttöönotto on mahdollista vain integroidulla työkaluilla, liiketoimintaprosesseilla ja ihmisillä (osallistujarooleilla). Kurssi tarjoaa tietoa kaikista kolmesta elementistä, ja se kehitettiin alun perin tukemaan CI/CD-työkaluketjua ja työntekijöiden muunnosprojektia. DevOps käsittelee täydellistä DevSecOps-käytäntöä uusimpien automaattisten suojaustyökalujen avulla.

Kurssi kattaa seuraavan tyyppisten sovellusten suojausominaisuudet:
- Perinteiset monoliittiset 2/3-tason sovellukset
- Kubernetes-sovellukset - omassa DC: ssä, Public Cloud (EKS, AKS, GKE)
- Mobiili iOS- ja Android-sovellukset
- Sovellukset, joissa on REST API -tausta

Suosituimpien avoimen lähdekoodin ja kaupallisten tietoturvatyökalujen integrointia ja käyttöä harkitaan.
Kurssilla painotetaan Scrum/Kanban-käytäntöjä, mutta lähestymistapoja ja työkaluja voidaan käyttää myös perinteisessä Waterfall-projektinhallintamallissa.

Tietoa ja taitoja, joita hankit
- Siirtyminen "kehäsuojaus" -turvamallista "kaikkien kerrosten suojaus" -malliin
- Sanakirja, tietoturvatyökaluissa käytetyt termit ja objektit - CWE, CVE, Exploit jne.
- Perusstandardit, menetelmät, tietolähteet - OWASP, NIST, PCI DSS, CIS jne.

He oppivat myös integroitumaan CI/CD: hen ja käyttämään tietoturvatyökaluja seuraavista luokista:
- Mahdollisten hyökkäysten analysointi (uhan mallinnus)
- Suojauksen lähdekoodin staattinen analyysi (SAST)
- Dynaaminen sovellusten suojausanalyysi (IAST/DAST)
- Analyysi kolmannen osapuolen ja avoimen lähdekoodin ohjelmistojen (SCA) käytöstä
- Testaa kokoonpanon turvallisuusstandardeja (CIS, NIST jne.)
- Kokoonpanon karkaisu, paikkaus
- Salaisuuksien ja sertifikaattien hallinnan soveltaminen
- Suojaus REST-API: lle mikropalvelusovelluksissa ja taustalla
- WAF (Web-Application Firewall) -sovellus
- Seuraavan sukupolven palomuurit (NGFW)
- Manuaalinen ja automaattinen läpäisytestaus (Penetration Testing)
- Tietoturvan valvonta ja reagointi tapahtumiin tietoturvassa (SIEM)
- Oikeuslääketieteellinen analyysi

Lisäksi tiiminjohtajat saavat suosituksia käytännöistä DevSecOpsin onnistuneeseen käyttöönottoon:
- Kuinka valmistella ja onnistuneesti toteuttaa mini-tarjous ja PoC työkalujen valintaa varten
- Kuinka muuttaa kehitys-, tuki- ja tietoturvatiimien rooleja, rakennetta ja vastuualueita
- Miten mukauttaa liiketoimintaprosesseja tuotehallinnan, kehityksen, ylläpidon, tietoturvan

Philip Ignatenko

2

tietenkin

Yli 12 vuoden IT-alan työskentelyn aikana onnistuin työskentelemään kehittäjänä, testaajana, devops- ja devsecops-insinöörinä sellaisissa yrityksissä kuin NSPK (MIR-kortin kehittäjä), Kaspersky Lab, Sibur ja Rostelecom. Tällä hetkellä minä...

Daniil Nosenko

1

hyvin

On auditoinut kaupallisia verkostoja vuodesta 2017 lähtien. Osallistui Ukrainan osavaltioiden välisen pankin "AT Oschadbank" turvallisuusmallin kehittämiseen Testauksen pääominaisuus on pentest "mustan laatikon" menetelmällä. Työskentely pythonin ja bushin kanssa vuodesta 2016...