DevSecOps Eğitimi
DevSecOps Eğitimi
Eğitim Hakkında
DevSecOps, “şifre gibi güvenlik”, “DevOps ve Güvenliğin evliliği” ve “Güvenliğin sola kaydırılması” gibi ifadelerle tanımlandırılmıştır. Klasik güvenlik yaklaşımları, kısa süre önce yaşanan çok sayıdaki veri ihlallerinden de anlaşılacağı üzere Agile, DevOps ve Bulut yaklaşımlarını kullanan kuruluşlar için yetersiz ve oldukça da etkisiz kalmaktadır. DevSecOps ise yazılımın geliştirme sürecinin tüm aşamalarında güvenlik testlerinin otomatik olarak yapılması sayesinde güvenliği her bir DevOps ekibinin bir parçası haline getiren yeni bir yaklaşımdır. Güvenlik altyapısı, politikalar, kontroller, uyum, denetim ve hatta güvenli işlemler bile tamamen kodlanmakta ve otomatik hale getirilmekte ve hemen hemen hiçbir manuel süreç yürütülmemektedir. Bu üç günlük uygulamalı eğitim DevSecOps yaklaşımı, çalışma çerçevesi ve DevSecOps araçları hakkında genel bir bilgi vererek başlamakta ve ardından uygulama güvenliğine, güvenli yazılım geliştirme sürecinin unsurlarına ve kesintisiz entegrasyon / kesintisiz kurulum sürecinin bir parçası olarak otomatikleştirilen uygulama güvenliği testlerinin kullanımına eğilmektedir. Ardındansa bulut güvenliği, şifreli altyapı ve çevik DevOps süreçlerinden kaynaklanabilecek potansiyel güvenlik sorunlarına geçmekteyiz. Güvenlik, politikalar, sır yönetimi, şifreleme, kimlik ve erişim yönetiminden günlük kaydı tutma, takip ve alarm belirlemeye dek güvenlik kontrollerinin birer kod olarak uygulamaya konulmasını ele almaktayız. Konteynerler ve sunucusuz altyapılar tanıtılmakta ve konteyner güvenliği teknolojileri incelenerek olası güvenlik sorunları vurgulanmaktadır. Otomatik güvenlik testlerini entegre etmek ve güvenlik risklerini de azaltmak amacıyla DevSecOps yaklaşımı kullanılmaktadır. Kod olarak kesintisiz uyum da eğitim kapsamında olup önleme, tespit ve düzeltme için farklı yaklaşımlar ve uygun DevSecOps araçları kullanılmakta ve bu da süreci kod olarak denetim kavramına getirmektedir. Büyük veri analizini ve yapay zeka ve makine öğrenimini kullanarak güvenlik vakalarının belirlenmesi, yönetimi ve müdahale için yeni bir Güvenlik İşlemleri modeli sunulmakta olup imza algılama ve tehdit bilgilerinin yayınlanması gibi daha klasik tekniklerden de faydalanılmaktadır. Eğitimde son olarak teknoloji ve koddan ayrılıp organizasyonel ve kültürel hususlar, beceri geliştirme, ekip etkinliği ve işe alım yaklaşımları gibi DevSecOps’un insan yönünü ele almaktayız.
Ön Koşul
Belirli bir ön koşul yoktur ancak katılımcıların, DevOps, uygulama ve altyapı güvenliği konusunda bilgi ve deneyim sahibi olmaları faydalı olacaktır.
Eğitim İçeriği
- Objectives of course
- Agenda
- DevOps fundamentals
- Lab: Application Development Pipeline
- Why a traditional security approach doesn't work
- What is DevSecOps?
- DevSecOps approach
- DevSecOps framework
- DevSecOps toolkit
- OWASP Top 10
- Secure Software Development Lifecycle
- Application Security Testing Tools
- Lab: Integrate Application Security Test to Pipeline
- Infrastructure as Code
- Unit Tests
- Lab: InSpec
- AWS EC2
- Lab: Infrastructure as Code
- AWS Security
- Cloud automation
- Secrets management
- Continuous Compliance Framework
- Policy as code
- Audit as code
- Lab: Cloud Compliance
- Lab: Discover Secrets
- Demo: Policy as code in Azure
- Concept of containers
- Docker
- Security Issues of containers
- Orchestration
- Container security solutions
- Integration to CI / CD pipeline
- Lab: Container security
- Concept of serverless
- AWS Lambda, Azure Cloud Functions, Google Cloud Functions
- Serverless application architecture
- Security implications
- Lab: Deploy serverless application to cloud using CI / CD pipeline
- Why the traditional Security Operations Center is no longer effective
- A DevSecOps model for Security Operations
- Data analysis, security incident identification and analysis as code
- Elastic stack (formerly ELK stack)
- Artificial Intelligence, machine learning and data discovery tools
- Security Incident Response as code
- Red Teams and Blue Teams
- Real-life Cloud Security Issues
- Demonstrations of real-life cloud security issues
- Culture
- Organisation
- Skills and training
- Security champions
- Recruitment
- Team effectiveness
Kazanımlar
DevSecOps yaklaşımını, çerçevesini ve araç setini anlayıp uygulayabilme yetkinliğine sahip olacaklar
Geleneksel güvenlik yaklaşımlarının sınırlılıklarını kavrayacak ve DevSecOps ile güvenliği yazılım geliştirme yaşam döngüsüne entegre edebilecekler
OWASP Top 10 ve güvenli yazılım geliştirme prensipleri doğrultusunda otomatik uygulama güvenlik testlerini CI/CD süreçlerine entegre edebilecekler
Infrastructure as Code (IaC) ve birim testleri kullanarak güvenli altyapı ve kod geliştirme süreçleri oluşturabilecekler
AWS, Azure ve Google Cloud ortamlarında bulut güvenliği ve otomasyon konularında uygulamalı deneyim kazanacaklar
Sürekli uyumluluk (Continuous Compliance) ve Policy as Code / Audit as Code kavramlarını pratiğe dökebilecekler
Container ve serverless mimarilerinde güvenlik risklerini tanıyıp önlemler geliştirebilecekler
DevSecOps modelini Security Operations Center (SOC) süreçlerine entegre ederek tehdit tespiti ve olay müdahalesini otomatikleştirebilecekler
İnsan faktörünü ve organizasyonel kültürü göz önünde bulundurarak güvenlik şampiyonları ve etkili DevSecOps ekipleri oluşturabilecekler
Hedef Kitle
DevOps mühendisleri ve yazılım geliştiriciler
Siber güvenlik uzmanları ve güvenlik mühendisleri
Uygulama güvenliği (AppSec) ekipleri
CI/CD süreçlerini yöneten veya uygulayan teknik ekipler
Kurumsal güvenlik ve IT operasyon ekipleri
Serverless ve container tabanlı uygulamalarla çalışan teknik personel
DevSecOps kültürünü ve uygulamalarını iş süreçlerine entegre etmek isteyen profesyoneller
Bulut altyapı ve sistem yöneticileri
Sertifika
Eğitimlerimize %80 oranında katılım gösterilmesi ve eğitim müfredatına göre uygulanacak sınav/projelerin başarıyla tamamlanması durumunda, eğitimin sonunda dijital ve QR kod destekli “BT Akademi Başarı Sertifikası” verilmektedir.
SEKTÖRÜN GÜVENDİĞİ ÇÖZÜM ORTAĞI
BT Akademi'yi tercih eden 4.000'den fazla kurum yanılmıyor.
