感谢您发送咨询!我们的团队成员将很快与您联系。
感谢您发送预订!我们的团队成员将很快与您联系。
课程时长 7 小时
课程大纲
1. DevSecOps 基础:安全设计原则
学习内容:核心 DevSecOps 原则及安全 SDLC
演示:传统与现代安全流水线对比
实验:构建首个启用 DevSecOps 的流水线模板
2. OWASP ZAP 安全测试训练营
入侵模拟:
- 部署含 SQLi 及 XSS 漏洞的应用
- 使用 OWASP ZAP 检测并缓解威胁
防御策略:
- 使用 ZAP 进行自动化扫描
- 通过 ZAP API 集成 CI/CD
实验:自定义 ZAP 基线扫描及攻击规则
挑战:10 分钟内找到隐藏的管理面板
3. 依赖地狱:供应链防御
入侵模拟:
- 注入含 CVE 的恶意 npm 包
防御策略:
- 使用 OWASP Dependency-Track 监控漏洞
- 强制实施策略门禁,关键 CVE 时构建失败
实验:创建漏洞策略及告警工作流
震撼演示:单个不良依赖如何掌控你的基础设施
4. 漏洞管理作战室
入侵模拟:
- 利用未修补的容器漏洞
防御策略:
- 使用 OWASP DefectDojo 集中报告
- 使用 Trivy 扫描容器
实验:构建用于 CISO/高管报告的真实仪表盘
竞赛:比竞争对手更快地分诊 50 个发现项
5. 密钥与配置消防演习
入侵模拟:
- 使用 truffleHog 从 Git 历史中窃取密钥
防御策略:
- 使用预提交钩子阻止类似
password=.*的模式 - 使用 ZAP 配置蜘蛛发现危险设置
实验:实施 GitHub Actions 密钥扫描
现实检查:你的数据库密码就在 Slack 里
6. 总结:DevSecOps 作战计划
OWASP 集成路线图:
- 规划 DefectDojo、Dependency-Track 及 ZAP 的采用
个人行动计划:
- 起草 30 天安全检查清单
- 定义 DevSecOps KPI 及报告仪表盘
要求
具备基础软件及 SDLC 经验
目标受众
厌恶纯理论安全讲座的 DevOps、安全及云工程师
客户评论 (3)
Craig在培训中非常投入,始终确保我们保持专注,将示例调整到我们的日常活动中,并在被提问时总是提供答案,即使信息未在演示中提及。
Ecaterina Ioana Nicoale - BOOKING HOLDINGS ROMANIA SRL
课程 - DevOps Foundation®
机器翻译
培训师的高度承诺和专业知识
Jacek - Softsystem
课程 - DevOps Engineering Foundation (DOEF)®
机器翻译
实际案例
Maria - Fundacja PTA
课程 - Mastering Make: Advanced Workflow Automation and Optimization
机器翻译