خدمات شبکه فراز نتورک | پیشرو در ارائه خدمات دیتاسنتری و کلود
دوره آموزشی DevSecOps Foundation℠ توسط DevOps Institute ارائه شده است و هدف آن آموزش مفاهیم DevSecOps، که یک رویکرد یکپارچه از توسعه نرمافزار (Dev)، عملیات (Ops) و امنیت (Sec) است، میباشد. این دوره به بررسی شیوهها و ابزارهای مختلف برای ادغام امنیت در فرآیندهای توسعه و عملیات پرداخته و نحوه تأمین امنیت در تمامی مراحل چرخه عمر نرمافزار را آموزش میدهد.
در ادامه، سرفصلهای این دوره آورده شده است:
بخش 1: مقدمهای بر DevSecOps
فصل 1. تعریف و اصول DevSecOps
-
توضیح مفهومی DevSecOps
-
بررسی اصول پایهای DevSecOps
-
اهمیت امنیت در فرآیندهای DevOps
فصل 2. تفاوت DevSecOps با DevOps سنتی
-
تعریف DevOps سنتی و شیوههای آن
-
مقایسه DevOps و DevSecOps: تأکید بر امنیت در DevSecOps
-
چالشها و محدودیتهای DevOps بدون امنیت
فصل 3. هدفهای DevSecOps: افزایش امنیت در چرخه توسعه و عملیات
-
معرفی اهداف کلیدی DevSecOps
-
اهمیت ادغام امنیت در فرآیندهای DevOps
-
بررسی تأثیر DevSecOps بر کیفیت نرمافزار و سرعت توسعه
فصل 4. امنیت به عنوان یک جزء از فرایند توسعه، نه فقط یک اقدام جداگانه
-
نقش امنیت در تمام مراحل چرخه عمر نرمافزار
-
تأمین امنیت در کد، تست، استقرار و نگهداری
فصل 5. اهمیت DevSecOps در دنیای مدرن نرمافزار
-
چرا DevSecOps برای صنایع فناوری اطلاعات ضروری است؟
-
تاثیر تهدیدات امنیتی بر فرآیندهای توسعه نرمافزار
-
تأثیرات اقتصادی و تجاری DevSecOps بر سازمانها
فصل 6. تاریخچه DevSecOps
-
تکامل DevSecOps از رویکردهای امنیتی سنتی
-
پیدایش DevOps و چگونگی ورود امنیت به آن
-
گامهای اولیه و پذیرش اولیه DevSecOps در صنعت نرمافزار
فصل 7. چگونگی تکامل DevSecOps از امنیت سنتی به یکپارچگی با DevOps
-
مقایسه امنیت سنتی و امنیت یکپارچه در DevSecOps
-
چگونه DevSecOps امنیت را از یک اقدام بعد از توسعه به یک جزء اصلی فرآیند تبدیل کرد؟
فصل 8. اهمیت حرکت به سمت امنیت خودکار و یکپارچه در تمامی مراحل توسعه
-
مزایای امنیت خودکار
-
چالشهای اجرای امنیت دستی در فرآیندهای DevOps
-
ابزارها و روشهای خودکارسازی امنیت در DevSecOps
فصل 9. روند گسترش و پذیرش DevSecOps در صنعت نرمافزار
-
پذیرش DevSecOps در سازمانها و صنایع مختلف
-
بررسی موارد موفقیتآمیز پیادهسازی DevSecOps در شرکتهای بزرگ
-
چالشها و موانع موجود در پذیرش گسترده DevSecOps
بخش 2: اصول و شیوههای DevSecOps
فصل 1. یکپارچهسازی امنیت در فرآیند توسعه
-
چگونه امنیت به بخشی از فرآیند توسعه تبدیل میشود.
-
ایجاد سیاستهای امنیتی در هر مرحله از فرآیند توسعه.
-
آموزش تیمهای توسعه برای توجه به مسائل امنیتی در طول زمان کدنویسی.
فصل 2. Security as Code (امنیت به عنوان کد)
-
مفهوم “Security as Code” و چگونگی استفاده از آن در DevSecOps.
-
استفاده از کد برای پیادهسازی سیاستهای امنیتی و ابزارهای امنیتی.
-
نحوه پیادهسازی و مدیریت پروسههای امنیتی با استفاده از ابزارهای خودکارسازی.
فصل 3. نقش تیمهای مختلف در DevSecOps
-
نقش و مسئولیتهای تیمهای توسعه، عملیات و امنیت در فرآیند DevSecOps.
-
اهمیت همکاری بین تیمهای مختلف و چگونگی همافزایی آنها.
-
چگونه این تیمها در پیادهسازی و نظارت بر سیاستهای امنیتی یکپارچه همکاری میکنند.
فصل 4. چرخه عمر DevSecOps
-
بررسی کامل فرآیندهای DevSecOps در مراحل مختلف چرخه عمر نرمافزار (از برنامهریزی، طراحی، توسعه، تست، استقرار، تا نگهداری).
-
یکپارچهسازی امنیت در هر مرحله از چرخه عمر نرمافزار.
-
بهترین شیوهها برای پیادهسازی امنیت در هر مرحله.
فصل 5. اهمیت امنیت در مراحل اولیه توسعه
-
چرا امنیت باید از ابتدا در فرآیند توسعه گنجانده شود.
-
استفاده از ابزارهای خودکار برای شناسایی مشکلات امنیتی در مراحل اولیه.
-
چگونگی شناسایی آسیبپذیریها در مراحل اولیه طراحی و کدنویسی.
فصل 6. آموزش و آگاهیبخشی امنیتی در تیمها
-
راهکارهایی برای آموزش و آگاهیبخشی به تیمهای مختلف درباره اهمیت امنیت.
-
فرهنگسازی امنیتی در تیمهای توسعه و عملیات.
-
راههای انگیزشی برای تشویق تیمها به رعایت بهترین شیوههای امنیتی.
فصل 7. یکپارچگی امنیت در CI/CD
-
نحوه گنجاندن امنیت در خطوط Continuous Integration و Continuous Deployment.
-
ابزارهای خودکار برای تجزیه و تحلیل امنیت در فرآیندهای CI/CD.
-
ارزیابی و بهبود فرآیندهای CI/CD برای مدیریت و کاهش تهدیدات امنیتی.
فصل 8. استفاده از سیاستهای امنیتی در کد و زیرساخت
-
پیادهسازی سیاستهای امنیتی به صورت کد (Security as Code) برای زیرساختها و کدها.
-
ابزارهای مربوط به ایجاد سیاستهای امنیتی و نحوه پیادهسازی آنها.
-
استفاده از خودکارسازی برای مدیریت آسیبپذیریها و تهدیدات امنیتی.
فصل 9. توجه به امنیت در تستهای نرمافزاری
-
نحوه اجرای تستهای امنیتی در مراحل مختلف فرآیند تست نرمافزار.
-
استفاده از ابزارهای تست امنیتی مانند SAST و DAST برای شناسایی آسیبپذیریها.
-
راهکارهایی برای شبیهسازی حملات و ارزیابی اثرات آنها در نرمافزار.
فصل 10. پشتیبانی از سیاستهای امنیتی در محیطهای ابری
-
روشهای پیادهسازی و مدیریت امنیت در محیطهای ابری (AWS، Azure، GCP).
-
استفاده از ابزارهای امنیتی برای مدیریت زیرساختهای ابری و جلوگیری از آسیبپذیریها.
-
هماهنگی امنیتی بین منابع ابری و زیرساختهای On-Premise.
فصل 11. اهمیت بازخورد و بهبود مداوم امنیت
-
فرآیندهای بازخورد در پیادهسازی DevSecOps و چگونگی استفاده از آنها برای بهبود امنیت.
-
چگونگی تجزیه و تحلیل مشکلات امنیتی پس از رخداد و پیادهسازی تغییرات برای جلوگیری از تکرار آنها.
-
ارتقای کیفیت امنیتی در تمامی مراحل با استفاده از بازخورد و بهبود مستمر.
بخش 3: ابزارها و فناوریهای DevSecOps
فصل 1. ابزارهای خودکارسازی امنیت
-
Snyk: ابزاری برای تحلیل آسیبپذیریها در کد و وابستگیها.
-
SonarQube: ابزار تحلیل کد برای شناسایی مشکلات امنیتی، کیفیت کد و دیگر مسائل.
-
OWASP ZAP: ابزاری برای انجام آزمایشات امنیتی بر روی برنامهها بهویژه برای شبیهسازی حملات XSS و SQL Injection.
-
Checkmarx: یک ابزار تحلیل امنیتی Static Application Security Testing (SAST) برای شناسایی آسیبپذیریهای کد.
فصل 2. خودکارسازی فرآیندهای CI/CD برای تأمین امنیت
-
Jenkins: سیستم خودکارسازی محبوب CI/CD که امکان اضافه کردن پلاگینهای امنیتی برای نظارت بر آسیبپذیریها را فراهم میآورد.
-
GitLab CI/CD: ابزار CI/CD که قابلیتهای امنیتی داخلی مانند Static Application Security Testing (SAST) را دارا میباشد.
-
Travis CI: ابزار خودکارسازی CI برای تست و استقرار کد که به راحتی با ابزارهای امنیتی قابل یکپارچهسازی است.
فصل 3. مکانیزمهای بررسی امنیت در کد
-
Static Application Security Testing (SAST): ابزارهایی برای تحلیل کد قبل از اجرا و شبیهسازی حملات امنیتی.
-
Fortify: ابزار برای بررسی امنیت کد و شناسایی آسیبپذیریها در آن.
-
Veracode: ابزاری برای تحلیل کد بهصورت خودکار و شناسایی مشکلات امنیتی در کد منبع.
-
-
Dynamic Application Security Testing (DAST): ابزارهایی که امنیت اپلیکیشنها را در زمان اجرا بررسی میکنند.
-
Burp Suite: ابزاری برای انجام تستهای امنیتی بر روی اپلیکیشنها و شبیهسازی حملات امنیتی.
-
فصل 4. مدیریت آسیبپذیریها و ریسکها
-
Qualys: ابزاری برای شناسایی آسیبپذیریها و ارائه گزارشات جامع درباره وضعیت امنیتی.
-
Nessus: ابزار برای اسکن آسیبپذیریها و شناسایی تهدیدات امنیتی در سیستمها و زیرساختها.
-
OpenVAS: یک ابزار برای اسکن آسیبپذیریهای امنیتی بهصورت خودکار.
فصل 5. ابزارهای نظارت و گزارشگیری امنیتی
-
Prometheus + Grafana: ابزارهایی برای نظارت بر سیستمها و گزارشدهی وضعیت امنیتی.
-
Splunk: ابزار تجزیه و تحلیل دادههای امنیتی برای شناسایی تهدیدات و تجزیه و تحلیل رخدادها.
-
ELK Stack (Elasticsearch, Logstash, Kibana): مجموعهای از ابزارها برای جستجو، نظارت و تجزیه و تحلیل دادههای امنیتی.
فصل 6. ابزارهای امنیتی برای زیرساخت به عنوان کد (IaC)
-
Terraform: ابزار برای خودکارسازی مدیریت زیرساخت که به کمک آن میتوان سیاستهای امنیتی را بهطور خودکار در زیرساختها پیادهسازی کرد.
-
Ansible: ابزاری برای مدیریت پیکربندی و خودکارسازی عملیاتها که امنیت را میتوان در آن پیادهسازی کرد.
-
Puppet: ابزار دیگری برای مدیریت زیرساختها که امکان اجرای سیاستهای امنیتی در آن وجود دارد.
فصل 7. ابزارهای امنیت ابری
-
AWS Security Hub: ابزاری برای نظارت بر وضعیت امنیتی زیرساختهای ابری AWS و تحلیل تهدیدات.
-
Azure Security Center: ابزار امنیتی برای شناسایی و مدیریت تهدیدات در محیطهای ابری Azure.
-
Google Cloud Security Command Center: ابزاری برای امنیت زیرساختهای ابری GCP.
فصل 8. ابزارهای امنیتی در مدیریت هویت و دسترسی
-
Okta: ابزاری برای مدیریت هویت و دسترسی در سیستمهای ابری و رویزمین.
-
Auth0: یک سرویس برای مدیریت احراز هویت و کنترل دسترسی در اپلیکیشنها.
فصل 9. ابزارهای تست و شبیهسازی حملات (Penetration Testing)
-
Metasploit: یک چارچوب برای شبیهسازی حملات سایبری بهمنظور شناسایی آسیبپذیریها.
-
Kali Linux: مجموعهای از ابزارهای تست نفوذ و شبیهسازی حملات امنیتی.
فصل 10. ابزارهای امنیتی در کنترل پیکربندی و استانداردهای امنیتی
-
Chef InSpec: ابزاری برای تست و بررسی استانداردهای امنیتی در زیرساختها و سیستمها.
-
CloudFormation: ابزار AWS برای مدیریت و پیکربندی زیرساختها که میتوان امنیت را بهطور خودکار پیادهسازی کرد.
بخش 4: امنیت در CI/CD
فصل 1. امنیت در فرآیندهای CI/CD
-
تعیین الزامات امنیتی برای CI/CD: چگونه الزامات امنیتی باید در ابتدای فرآیند CI/CD تعریف شوند.
-
افزودن ابزارهای امنیتی به CI/CD: استفاده از ابزارهای امنیتی برای شناسایی آسیبپذیریها در کدها در مراحل مختلف CI/CD.
-
تستهای امنیتی خودکار: چگونه میتوان تستهای امنیتی را به طور خودکار در مراحل CI/CD اضافه کرد تا آسیبپذیریها سریعاً شناسایی شوند.
فصل 2. تحلیل کد در زمان ادغام و استقرار
-
Static Application Security Testing (SAST): تحلیل امنیتی کد بهصورت استاتیک برای شناسایی مشکلات امنیتی قبل از استقرار.
-
Dynamic Application Security Testing (DAST): شبیهسازی حملات برای شناسایی آسیبپذیریها در هنگام اجرا.
-
Continuous Security Testing: اجرای خودکار تستهای امنیتی در هر تغییر کد برای شناسایی و برطرف کردن مشکلات امنیتی.
فصل 3. مدلهای خودکار برای تحلیل امنیتی در CI/CD
-
استفاده از ابزارهای خودکار: معرفی و پیادهسازی ابزارهایی که میتوانند امنیت را در هر مرحله از CI/CD (مثل Jenkins، GitLab CI/CD) تضمین کنند.
-
پارامترهای پیکربندی ابزارها: چگونگی تنظیم ابزارهای CI/CD برای انجام آنالیز امنیتی خودکار بر روی کدهای موجود.
فصل 4. مدیریت دسترسی و احراز هویت در CI/CD
-
مدیریت دسترسی به سیستمهای CI/CD: روشهای مناسب برای محدود کردن دسترسی به سیستمهای CI/CD به افراد مجاز.
-
احراز هویت و کنترل دسترسی: پیادهسازی کنترل دسترسی و احراز هویت برای حفاظت از سیستمهای CI/CD و دادههای حساس.
-
اصول Least Privilege: اطمینان از اینکه هر کاربر یا ابزار تنها دسترسی مورد نیاز خود را دارد.
فصل 5. نظارت و گزارشدهی امنیت در CI/CD
-
ابزارهای نظارت امنیتی در CI/CD: استفاده از ابزارهایی که بهطور مستمر وضعیت امنیتی را در خطوط CI/CD نظارت میکنند.
-
ایجاد گزارشهای امنیتی: چگونگی تولید گزارشهایی از وضعیت امنیتی و آسیبپذیریهای شناسایی شده در فرآیند CI/CD.
-
مدیریت هشدارهای امنیتی: تنظیم هشدارهای امنیتی برای اطلاعرسانی به تیمهای امنیتی و توسعه در صورت شناسایی تهدیدات.
فصل 6. پیادهسازی اصول امنیتی در فرآیندهای Continuous Deployment
-
امنیت در فرآیند استقرار خودکار: نحوه پیادهسازی امنیت در زمانی که کد به طور خودکار به محیط تولید (Production) منتقل میشود.
-
بررسی خطرات امنیتی در استقرارهای خودکار: شناسایی و برطرف کردن مشکلات امنیتی که میتوانند در حین استقرار رخ دهند.
فصل 7. بهبود امنیت در CI/CD با تستهای دستی و اتوماسیون
-
ترکیب تستهای دستی و خودکار: پیادهسازی رویکردی که در آن تستهای امنیتی دستی و خودکار به صورت همزمان در فرآیندهای CI/CD استفاده میشوند.
-
خودکارسازی تستهای امنیتی با استفاده از ابزارهای SAST و DAST: چگونگی خودکارسازی تستهای امنیتی در محیطهای CI/CD.
فصل 8. بررسی و ارزیابی آسیبپذیریها در خطوط CI/CD
-
مدیریت آسیبپذیریها در کد و زیرساختها: چگونگی شناسایی و مدیریت آسیبپذیریهای امنیتی که در طول فرآیند CI/CD ممکن است وارد کد یا سیستمها شوند.
-
استفاده از ابزارهای کشف آسیبپذیریها: معرفی و آموزش استفاده از ابزارهایی مثل OWASP Dependency-Check، SonarQube و سایر ابزارهای مشابه برای ارزیابی آسیبپذیریها در CI/CD.
فصل 9. شبیهسازی حملات در فرآیند CI/CD
-
Simulating Attacks during CI/CD: چگونگی شبیهسازی حملات برای ارزیابی مقاومت سیستمهای CI/CD در برابر تهدیدات امنیتی.
-
** تستهای امنیتی در مراحل مختلف**: اجرای شبیهسازی حملات در مراحل مختلف CI/CD (قبل از ادغام، هنگام ادغام و در زمان استقرار).
فصل 10. بررسی قوانین و استانداردهای امنیتی در CI/CD
-
استانداردها و قوانین امنیتی برای CI/CD: معرفی استانداردها و قوانینی که در فرآیندهای CI/CD باید رعایت شوند.
-
توافقنامهها و نظارت بر تطابق با استانداردهای امنیتی: نحوه اطمینان از اینکه فرآیندهای CI/CD با استانداردهای امنیتی صنعت تطابق دارند.
نقد و بررسی وجود ندارد.