SonarQube για Ασφαλές SDLC και Azure DevOps Κομμάτι εκπαίδευσης

1. Έννοιες και Πεδίο Εφαρμογής της Στατικής Ανάλυσης Κώδικα

• Ορισμοί: στατική ανάλυση, SAST, κατηγορίες κανόνων και σοβαρότητα
• Πεδίο εφαρμογής της στατικής ανάλυσης σε ασφαλές SDLC και κάλυψη κινδύνων
• Πώς το SonarQube εντάσσεται σε ελέγχους ασφάλειας και ροές εργασίας προγραμματιστών

2. Επισκόπηση SonarQube: Χαρακτηριστικά και Αρχιτεκτονική

• Βασικές υπηρεσίες, βάση δεδομένων και στοιχεία σαρωτή
• Quality Gates, Quality Profiles και βέλτιστες πρακτικές για Quality Gates
• Χαρακτηριστικά σχετικά με την ασφάλεια: ευπάθειες, κανόνες SAST και αντιστοίχιση CWE

3. Πλοήγηση και Χρήση του Περιβάλλοντος Χρήστη του Διακομιστή SonarQube

• Περιήγηση στο περιβάλλον χρήστη του διακομιστή: έργα, ζητήματα, κανόνες, μετρήσεις και προβολές διακυβέρνησης
• Ερμηνεία σελίδων ζητημάτων, ιχνηλασιμότητα και οδηγίες αποκατάστασης
• Δημιουργία αναφορών και επιλογές εξαγωγής

4. Ρύθμιση του SonarScanner με Εργαλεία Build

• Εγκατάσταση του SonarScanner για Maven, Gradle, Ant και MSBuild
• Βέλτιστες πρακτικές για ιδιότητες σαρωτή, εξαιρέσεις και έργα πολλαπλών modules
• Δημιουργία απαραίτητων δεδομένων δοκιμών και αναφορών κάλυψης για ακριβή ανάλυση

5. Ενσωμάτωση με Azure DevOps

• Ρύθμιση συνδέσεων υπηρεσίας SonarQube στο Azure DevOps
• Προσθήκη εργασιών SonarQube σε Azure Pipelines και διακόσμηση PR
• Εισαγωγή Azure Repos στο SonarQube και αυτοματοποίηση αναλύσεων

6. Ρύθμιση Έργου και Αναλυτές Τρίτων

• Quality Profiles σε επίπεδο έργου και επιλογή κανόνων για Java και Angular
• Εργασία με αναλυτές τρίτων και κύκλο ζωής προσθέτων
• Ορισμός παραμέτρων ανάλυσης και κληρονομικότητα παραμέτρων

7. Ρόλοι, Αρμοδιότητες και Επισκόπηση Μεθοδολογίας Ασφαλούς Ανάπτυξης

• Διαχωρισμός ρόλων: προγραμματιστές, αξιολογητές, DevOps, υπεύθυνοι ασφάλειας
• Δημιουργία πίνακα ρόλων & αρμοδιοτήτων για διαδικασίες CI/CD
• Διαδικασία επισκόπησης και συστάσεων για υπάρχουσα μεθοδολογία ασφαλούς ανάπτυξης

8. Προχωρημένο: Προσθήκη Κανόνων, Ρύθμιση και Ενίσχυση Συνολικών Χαρακτηριστικών Ασφάλειας

• Χρήση του Web API του SonarQube για προσθήκη και διαχείριση προσαρμοσμένων κανόνων
• Προσαρμογή Quality Gates και αυτοματοποιημένη επιβολή πολιτικής
• Ενίσχυση ασφάλειας διακομιστή SonarQube και βέλτιστες πρακτικές ελέγχου πρόσβασης

9. Πρακτικές Συνεδρίες Εργαστηρίου (Εφαρμοσμένες)

• Εργαστήριο Α: Ρύθμιση του SonarScanner για 5 αποθετήρια Java (Quarkus όπου ισχύει) και ανάλυση αποτελεσμάτων
• Εργαστήριο Β: Ρύθμιση ανάλυσης Sonar για 1 front-end Angular και ερμηνεία ευρημάτων
• Εργαστήριο Γ: Πλήρες εργαστήριο pipeline—ενσωμάτωση SonarQube με pipeline Azure DevOps και ενεργοποίηση διακόσμησης PR

10. Δοκιμή, Επίλυση Προβλημάτων και Ερμηνεία Αναφορών

• Στρατηγικές για δημιουργία δεδομένων δοκιμών και μέτρηση κάλυψης
• Συνήθη ζητήματα και επίλυση προβλημάτων σαρωτή, pipeline και σφαλμάτων δικαιωμάτων
• Πώς να διαβάζετε και να παρουσιάζετε αναφορές SonarQube σε τεχνικά και μη τεχνικά ενδιαφερόμενα μέρη

11. Βέλτιστες Πρακτικές και Συστάσεις

• Επιλογή συνόλων κανόνων και στρατηγικές σταδιακής επιβολής
• Συστάσεις ροής εργασίας για προγραμματιστές, αξιολογητές και pipelines build
• Οδικός χάρτης για κλιμάκωση του SonarQube σε περιβάλλοντα επιχειρήσεων

Σύνοψη και Επόμενα Βήματα