联系我们
 课程时长 7 小时

课程大纲

1. DevSecOps 基础:安全设计原则

学习内容:核心 DevSecOps 原则及安全 SDLC

演示:传统与现代安全流水线对比

实验:构建首个启用 DevSecOps 的流水线模板

2. OWASP ZAP 安全测试训练营

入侵模拟:

  • 部署含 SQLi 及 XSS 漏洞的应用
  • 使用 OWASP ZAP 检测并缓解威胁

防御策略:

  • 使用 ZAP 进行自动化扫描
  • 通过 ZAP API 集成 CI/CD

实验:自定义 ZAP 基线扫描及攻击规则

挑战:10 分钟内找到隐藏的管理面板

3. 依赖地狱:供应链防御

入侵模拟:

  • 注入含 CVE 的恶意 npm 包

防御策略:

  • 使用 OWASP Dependency-Track 监控漏洞
  • 强制实施策略门禁,关键 CVE 时构建失败

实验:创建漏洞策略及告警工作流

震撼演示:单个不良依赖如何掌控你的基础设施

4. 漏洞管理作战室

入侵模拟:

  • 利用未修补的容器漏洞

防御策略:

  • 使用 OWASP DefectDojo 集中报告
  • 使用 Trivy 扫描容器

实验:构建用于 CISO/高管报告的真实仪表盘

竞赛:比竞争对手更快地分诊 50 个发现项

5. 密钥与配置消防演习

入侵模拟:

  • 使用 truffleHog 从 Git 历史中窃取密钥

防御策略:

  • 使用预提交钩子阻止类似 password=.* 的模式
  • 使用 ZAP 配置蜘蛛发现危险设置

实验:实施 GitHub Actions 密钥扫描

现实检查:你的数据库密码就在 Slack 里

6. 总结:DevSecOps 作战计划

OWASP 集成路线图:

  • 规划 DefectDojo、Dependency-Track 及 ZAP 的采用

个人行动计划:

  • 起草 30 天安全检查清单
  • 定义 DevSecOps KPI 及报告仪表盘

要求

具备基础软件及 SDLC 经验

目标受众

厌恶纯理论安全讲座的 DevOps、安全及云工程师

客户评论 (3)

即将举行的公开课程

课程分类