Bu eğitimi kendi kurumunuzda planlayabilirsiniz. Bize Ulaşın!

DevSecOps, ‘şifre gibi güvenlik’, ‘DevOps ve Güvenliğin evliliği’ ve ‘Güvenliğin sola kaydırılması’ gibi ifadelerle tanımlandırılmıştır. Klasik güvenlik yaklaşımları, kısa süre önce yaşanan çok sayıdaki veri ihlallerinden de anlaşılacağı üzere Agile, DevOps ve Bulut yaklaşımlarını kullanan kuruluşlar için yetersiz ve oldukça da etkisiz kalmaktadır. DevSecOps ise yazılımın geliştirme sürecinin tüm aşamalarında güvenlik testlerinin otomatik olarak yapılması sayesinde güvenliği her bir DevOps ekibinin bir parçası haline getiren yeni bir yaklaşımdır. Güvenlik altyapısı, politikalar, kontroller, uyum, denetim ve hatta güvenli işlemler bile tamamen kodlanmakta ve otomatik hale getirilmekte ve hemen hemen hiçbir manüel süreç yürütülmemektedir.

Bu iki günlük uygulamalı eğitim DevSecOps yaklaşımı, çalışma çerçevesi ve DevSecOps araçları hakkında genel bir bilgi vererek başlamakta ve ardından uygulama güvenliğine, güvenli yazılım geliştirme sürecinin unsurlarına ve kesintisiz entegrasyon / kesintisiz kurulum sürecinin bir parçası olarak otomatikleştirilen uygulama güvenliği testlerinin kullanımına eğilmektedir. Ardındansa bulut güvenliği, şifreli altyapı ve çevik DevOps süreçlerinden kaynaklanabilecek potansiyel güvenlik sorunlarına geçmekteyiz. Güvenlik, politikalar, sır yönetimi, şifreleme, kimlik ve erişim yönetiminden günlük kaydı tutma, takip ve alarm belirlemeye dek güvenlik kontrollerinin birer kod olarak uygulamaya konulmasını ele almaktayız. Konteynerler ve sunucusuz altyapılar tanıtılmakta ve konteyner güvenliği teknolojileri incelenerek olası güvenlik sorunları vurgulanmaktadır. Otomatik güvenlik testlerini entegre etmek ve güvenlik risklerini de azaltmak amacıyla DevSecOps yaklaşımı kullanılmaktadır. Kod olarak kesintisiz uyum da eğitim kapsamında olup önleme, tespit ve düzeltme için farklı yaklaşımlar ve uygun DevSecOps araçları kullanılmakta ve bu da süreci kod olarak denetim kavramına getirmektedir.

Büyük veri analizini ve yapay zeka ve makine öğrenimini kullanarak güvenlik vakalarının belirlenmesi, yönetimi ve müdahale için yeni bir Güvenlik İşlemleri modeli sunulmakta olup imza algılama ve tehdit bilgilerinin yayınlanması gibi daha klasik tekniklerden de faydalanılmaktadır. Eğitimde son olarak teknoloji ve koddan ayrılıp organizasyonel ve kültürel hususlar, beceri geliştirme, ekip etkinliği ve işe alım yaklaşımları gibi DevSecOps’un insan yönünü ele almaktayız.

Eğitim, sunumlar, pratik demolar ve laboratuvar uygulamaları şeklinde verilmektedir. DevSecOps araçları, otomatik güvenlik testleri ve sunucusuz uygulamalar konusunda uygulamalı deneyim elde edeceksiniz. Kod olarak altyapıya güvenlik iyileştirmelerini uygulayacak ve bulut ortamı için kesintisiz güvenliği sağlamak amacıyla da kesintisiz uyum araçlarını uygulamaya koyacaksınız.

Bu eğitim esasen şu kişilere yöneliktir:

Güvenlik ve DevSecOps konusundaki bilgilerini arttırmak isteyen uygulama geliştiricileri, DevOps mühendisleri, ekip liderleri ve yöneticiler
DevSecOps çalışma çerçevesi ve araçlarını, kodlamayı, otomasyonu ve bir DevOps kültüründe etkin güvenliği sağlamak için gereken değişiklikleri anlamak isteyen güvenlik ve bilgi riski profesyonelleri

Belirli bir ön koşul yoktur ancak katılımcıların, DevOps, uygulama ve altyapı güvenliği konusunda bilgi ve deneyim sahibi olmaları faydalı olacaktır.

DevSecOps approach, framework and toolkit
Automated application security testing integrated to CI/CD pipeline
Cloud security, infrastructure as code, unit and integration tests
Containers, security issues and container security solutions
Continuous compliance as code
Serverless functions, architectures, automated remediation
A DevSecOps model for security operations
People aspects of DevSecOps

1.Gün

Giriş

Objectives of course
Agenda

DevSecOps Approach, Framework and Toolkit

DevOps fundamentals
Lab: Application Development Pipeline
Why a traditional security approach doesn't work
What is DevSecOps?
DevSecOps approach
DevSecOps framework
DevSecOps toolkit

Automated Application Security Testing

OWASP Top 10
Secure Software Development Lifecycle
Application Security Testing Tools
Lab: Integrate Application Security Test to Pipeline

Infrastructure as Code and Unit Tests

Infrastructure as Code
Unit Tests
Lab: InSpec

2.Gün

Cloud Security

AWS EC2
Lab: Infrastructure as Code
AWS Security
Cloud automation
Secrets management

Continuous Compliance

Continuous Compliance Framework
Policy as code
Audit as code
Lab: Cloud Compliance
Lab: Discover Secrets
Demo: Policy as code in Azure

DAY THREE

Containers

Concept of containers
Docker
Security Issues of containers
Orchestration
Container security solutions
Integration to CI / CD pipeline
Lab: Container security

Serverless

Concept of serverless
AWS Lambda, Azure Cloud Functions, Google Cloud Functions
Serverless application architecture
Security implications
Lab: Deploy serverless application to cloud using CI / CD pipeline

A DevSecOps model for Security Operations

Why the traditional Security Operations Center is no longer effective
A DevSecOps model for Security Operations
Data analysis, security incident identification and analysis as code
Elastic stack (formerly ELK stack)
Artificial Intelligence, machine learning and data discovery tools
Security Incident Response as code
Red Teams and Blue Teams
Real-life Cloud Security Issues
Demonstrations of real-life cloud security issues

People aspects of DevSecOps

Culture
Organisation
Skills and training
Security champions
Recruitment
Team effectiveness