Formation DevSecOps : Intégrer la sécurité dès le développement

Programme de la formation
DevSecOps : Intégrer la sécurité dès le développement

• Introduction au DevSecOps et à la sécurité par conception

  - Définir les principes fondamentaux du DevSecOps.
  - Expliquer l'importance de la sécurité par conception (Security by Design).
  - Identifier les phases d'intégration de la sécurité dans le cycle de vie logiciel.

• Modélisation des menaces et analyse de risques

  - Réaliser une modélisation des menaces pour une application.
  - Évaluer les risques de sécurité associés aux composants logiciels.
  - Appliquer des méthodes d'analyse de risques (ex: STRIDE).

• Sécurisation du code source : Bonnes pratiques

  - Appliquer les bonnes pratiques de codage sécurisé.
  - Identifier les vulnérabilités courantes dans le code (OWASP Top 10).
  - Prévenir les injections SQL et les failles XSS.

• Intégration des tests SAST dans les pipelines CI/CD

  - Configurer un outil SAST (Static Application Security Testing).
  - Intégrer un scanner SAST dans un pipeline Jenkins.
  - Analyser les rapports de vulnérabilités générés par le SAST.

• Tests de sécurité dynamiques (DAST)

  - Déployer un outil DAST (Dynamic Application Security Testing).
  - Lancer des scans DAST sur des applications en cours d'exécution.
  - Interpréter les résultats des tests DAST pour identifier les failles.

• Gestion des secrets et des identifiants

  - Expliquer les enjeux de la gestion des secrets.
  - Utiliser un gestionnaire de secrets (ex: HashiCorp Vault).
  - Intégrer la récupération sécurisée des secrets dans le code.

• Sécurité de l'infrastructure as Code (IaC)

  - Appliquer les principes de sécurité à l'Infrastructure as Code (IaC).
  - Déployer des configurations de sécurité prédéfinies via Terraform.
  - Auditer la sécurité des templates IaC.

• Sécurisation des conteneurs et microservices

  - Mettre en œuvre la sécurité des images Docker.
  - Appliquer des politiques de sécurité aux conteneurs.
  - Sécuriser les communications entre microservices.

• Politiques de sécurité et conformité

  - Définir des politiques de sécurité adaptées au développement.
  - Appliquer les exigences de conformité (ex: RGPD, ISO 27001).
  - Mettre en place des contrôles de sécurité.

• Réponse aux incidents et monitoring de sécurité

  - Établir un plan de réponse aux incidents de sécurité.
  - Mettre en place un monitoring de sécurité des applications.
  - Analyser les logs de sécurité pour détecter les anomalies.

• Automatisation de la sécurité dans les pipelines CI/CD avancés

  - Automatiser les tests de sécurité dans des pipelines CI/CD complexes.
  - Intégrer des outils de sécurité tiers dans le pipeline.
  - Optimiser les performances des scans de sécurité.

• Audit et amélioration continue de la sécurité

  - Réaliser un audit de sécurité d'une application.
  - Proposer des améliorations pour renforcer la posture de sécurité.
  - Mettre en place un processus d'amélioration continue DevSecOps.