SonarQube για Ασφαλή SDLC και Azure DevOps Κομμάτι εκπαίδευσης

1. Έννοιες και Πεδίο Εφαρμογής της Στατικής Ανάλυσης Κώδικα

• Ορισμοί: στατική ανάλυση, SAST, κατηγορίες κανόνων και σοβαρότητα
• Πεδίο εφαρμογής της στατικής ανάλυσης στον ασφαλή SDLC και κάλυψη κινδύνων
• Πώς ενσωματώνεται το SonarQube στους ελέγχους ασφαλείας και στις ροές εργασίας των προγραμματιστών

2. Επισκόπηση του SonarQube: Χαρακτηριστικά και Αρχιτεκτονική

• Βασικές υπηρεσίες, βάση δεδομένων και στοιχεία σαρωτή
• Quality Gates, Quality Profiles και βέλτιστες πρακτικές για τα Quality Gates
• Χαρακτηριστικά που σχετίζονται με την ασφάλεια: ευπάθειες, κανόνες SAST και αντιστοίχιση CWE

3. Πλοήγηση και Χρήση του Γραφικού Περιβάλλοντος του Διακομιστή SonarQube

• Περιήγηση στο UI του διακομιστή: έργα, ζητήματα, κανόνες, μετρήσεις και προβολές διακυβέρνησης
• Ερμηνεία σελίδων ζητημάτων, ιχνηλασιμότητα και οδηγίες αποκατάστασης
• Δημιουργία αναφορών και επιλογές εξαγωγής

4. Διαμόρφωση του SonarScanner με Εργαλεία Κατασκευής

• Ρύθμιση του SonarScanner για Maven, Gradle, Ant και MSBuild
• Βέλτιστες πρακτικές για ιδιότητες σαρωτή, εξαιρέσεις και πολυ-αρθρωτά έργα
• Δημιουργία απαραίτητων δεδομένων δοκιμών και αναφορών κάλυψης για ακριβή ανάλυση

5. Ενσωμάτωση με το Azure DevOps

• Διαμόρφωση συνδέσεων υπηρεσίας SonarQube στο Azure DevOps
• Προσθήκη εργασιών SonarQube σε Azure Pipelines και διακόσμηση αιτημάτων έλξης (PR decoration)
• Εισαγωγή Azure Repos στο SonarQube και αυτοματοποίηση αναλύσεων

6. Διαμόρφωση Έργου και Αναλυτές Τρίτων

• Quality Profiles σε επίπεδο έργου και επιλογή κανόνων για Java και Angular
• Συνεργασία με αναλυτές τρίτων και κύκλος ζωής προσθέτων
• Ορισμός παραμέτρων ανάλυσης και κληρονομικότητα παραμέτρων

7. Ρόλοι, Αρμοδιότητες και Επανεξέταση Μεθοδολογίας Ασφαλούς Ανάπτυξης

• Διαχωρισμός ρόλων: προγραμματιστές, αξιολογητές, DevOps, υπεύθυνοι ασφαλείας
• Δημιουργία πίνακα ρόλων και αρμοδιοτήτων για διαδικασίες CI/CD
• Διαδικασία επανεξέτασης και προτάσεων για μια υπάρχουσα μεθοδολογία ασφαλούς ανάπτυξης

8. Προχωρημένα: Προσθήκη Κανόνων, Ρύθμιση και Ενίσχυση Συνολικών Χαρακτηριστικών Ασφαλείας

• Χρήση του Web API του SonarQube για προσθήκη και διαχείριση προσαρμοσμένων κανόνων
• Προσαρμογή των Quality Gates και αυτοματοποιημένη επιβολή πολιτικών
• Ενίσχυση της ασφάλειας του διακομιστή SonarQube και βέλτιστες πρακτικές ελέγχου πρόσβασης

9. Συνεδρίες Πρακτικών Εργαστηρίων (Εφαρμοσμένες)

• Εργαστήριο Α: Διαμόρφωση SonarScanner για 5 αποθετήρια Java (Quarkus όπου ισχύει) και ανάλυση αποτελεσμάτων
• Εργαστήριο B: Διαμόρφωση ανάλυσης Sonar για 1 front-end σε Angular και ερμηνεία ευρημάτων
• Εργαστήριο Γ: Πλήρες εργαστήριο pipeline — ενσωμάτωση του SonarQube με ένα pipeline Azure DevOps και ενεργοποίηση διακόσμησης PR

10. Δοκιμές, Επίλυση Προβλημάτων και Ερμηνεία Αναφορών

• Στρατηγικές για τη δημιουργία δεδομένων δοκιμών και τη μέτρηση κάλυψης
• Συνηθισμένα προβλήματα και αντιμετώπιση σφαλμάτων σαρωτή, pipeline και δικαιωμάτων
• Πώς να διαβάζετε και να παρουσιάζετε αναφορές SonarQube σε τεχνικά και μη τεχνικά ενδιαφερόμενα μέρη

11. Βέλτιστες Πρακτικές και Συστάσεις

• Επιλογή συνόλων κανόνων και στρατηγικές σταδιακής επιβολής
• Συστάσεις ροής εργασίας για προγραμματιστές, αξιολογητές και pipelines κατασκευής
• Οδικός χάρτης για την κλιμάκωση του SonarQube σε εταιρικά περιβάλλοντα

Περίληψη και Επόμενα Βήματα