SonarQube για Ασφαλή SDLC και Azure DevOps Κομμάτι εκπαίδευσης

1. Εννοιές και Περιοχή Ισταμένης Ανάλυσης Κώδικα

• Ορισμοί: η στατική ανάλυση, το SAST, οι κατηγορίες και η βαρύτητα των κανόνων
• Η περιοχή της στατικής ανάλυσης στην εξυπηρέτηση ισταμένης ασφάλειας και κάλυψης κινδύνων
• Πώς το SonarQube ταιριάζει στα μέτρα ασφάλειας και τους ρυθμίσεις δημιουργών

2. Περιγραφή SonarQube: Φункции και Αρχιτεκτονική

• Βασικά υπηρεσίες, βάση δεδομένων και συστατικά του παραθύρου ανάλυσης
• Πύλες Ποιότητας, Προφίλ Ποιότητας και καλές πρακτικές για τις Πύλες Ποιότητας
• Συσχετιζόμενες με ασφάλεια χαρακτηριστικές: κινδύνους, κανόνες SAST και πλήξη CWE

3. Πλοήγηση και Χρήση του UI Σέρβου SonarQube

• Περιήγηση στο UI του Σέρβου: εργασίες, προβλήματα, κανόνες, μετρήσεις και απόψεις διακυβέρνησης
• Ερμηνεία παγκύρων σελίδων, ακολουθιάκη καταγωγή και καθοδήγηση διόρθωσης
• Δημιουργία εκθέσεων και επιλογές εξαγωγής

4. Ρύθμιση του SonarScanner με Εργαλεία Ανάκτησης

• Ρύθμιση του SonarScanner για Maven, Gradle, Ant και MSBuild
• Καλές πρακτικές για ρυθμίσεις αναλυτή, εξαιρέσεις και πολύπλοιες έργου
• Δημιουργία απαραίτητων δεδομένων τεστ και εκθέσεων συνάκρισης για ακριβή ανάλυση

5. Ενσωμάτωση με το Azure DevOps

• Ρύθμιση υπηρεσίας συνδέσεων SonarQube στο Azure DevOps
• Πρόσθεση εργασιών SonarQube στα Pipelines του Azure και διάκοσμη PR decoration
• Εισαγωγή Repos του Azure στο SonarQube και αυτόματη εξέταση

6. Ρύθμιση Έργου και Τρίτων Αναλυτών

• Επίπεδο-έργου Προφίλ Ποιότητας και επιλογή κανόνων για Java και Angular
• Εργασία με τρίτους αναλυτές και ζωή πρόσθετης λογικής
• Ορισμός ρυθμίσεων ανάλυσης και κληρονομικότητα παραμέτρων

7. Ρόλοι, Ευθύνες και Αξιολόγηση Μεθοδολογίας Ασφάλους Ανάπτυξης

• Αποκέντρωση ρολών: δημιουργοί, κριτές, DevOps, ευθύνοντες ασφάλειας
• Δημιουργία πίνακα ρόλων & ευθυνών για τα διαδικασίες CI/CD
• Εξέταση και σύσταση διαδικασίας υπάρχουσης μεθοδολογίας ασφαλής ανάπτυξης

8. Προχωρημένο: Πρόσθεση Κανόνων, Εισκατάσταση και Βελτίωση Γενικών Συστημάτων Ασφάλειας

• Χρήση του Web API SonarQube για προσθήκη και διαχείριση προσαρμοσμένων κανόνων
• Εισκατάσταση Πυλών Ποιότητας και αυτόματη εξεργασία πολιτικής
• Διερεύνηση σουρού διαφυγών SonarQube server και καλές πρακτικές έλεγχο πρόσβασης

9. Εργασίες Εφαρμογής (Εφαρμοσμένες)

• Lab A: Ρύθμιση του SonarScanner για 5 αποθετήρια Java (Quarkus όπου πρόκειται) και ανάλυση αποτελεσμάτων
• Lab B: Ρύθμιση ανάλυσης Sonar για 1 frontend Angular και ερμήνεια βρεθέντων
• Lab C: Πλήρης lab διαδίκαση—ενσωμάτωση SonarQube με pipeline Azure DevOps και ενεργοποίηση PR decoration

10. Εξέταση, Συνθήκη και Διαδικασία Ανάγνωσης Αποδείξεων

• Στρατηγικές για δημιουργία δεδομένων τεστ και μέτρηση συνάκρισης
• Κοινά ζητήματα και συνθήκη σκαννόγραφου, διαδίκαση πίπελ και λάθη για την έλεγχο πρόσβασης
• Πώς να διαβάζετε και παρουσιάζετε αποδείξεις SonarQube σε τεχνικό και μη-τεχνικό ορατό

11. Καλές πρακτικές και Συστάσεις

• Επιλογή συνόλων κανόνων και στρατηγικές τεχνικού προσαρμογή
• Συστάσεις ρυθμίσεων για δημιουργούς, κριτές, και pipelines ανάκτησης
• Φροντιστήριο σχεδιασμό SonarQube για ολόκληρους περιβάλλοντες επιχείρησης

Περίληψη και Επόμενα βήματα