التنفيذ والعمل في DevSecOps - دورة 88000 فرك. من أوتوس، التدريب 5 أشهر، التاريخ 30 أكتوبر 2023.

نواجه اليوم باستمرار هجمات القراصنة والاحتيال عبر البريد الإلكتروني وتسريب البيانات. أصبح العمل عبر الإنترنت من متطلبات العمل وواقعًا جديدًا. أصبح تطوير التعليمات البرمجية والحفاظ عليها وحماية البنية التحتية مع أخذ الأمان في الاعتبار مطلبًا أساسيًا لمتخصصي تكنولوجيا المعلومات. هؤلاء المتخصصون هم الأعلى أجرًا والطلب بين كبار أصحاب العمل: Microsoft، Google، Amazon Web Services، Mail. مجموعة رو، ياندكس، سبيربنك وغيرها.

لمن هذه الدورة؟
يتطلب تطوير البنية التحتية ومجموعات التطبيقات في التدفق المستمر لتغييرات Agile DevOps عملاً مستمرًا مع أدوات أمن المعلومات. ولم يعد النموذج الأمني ​​التقليدي الذي يركز على المحيط يعمل. في DevOps، تقع مسؤولية الأمان على عاتق جميع المشاركين في عملية Dev[Sec]Ops.

الدورة مخصصة للمتخصصين في الملفات الشخصية التالية:
- المطورين
- مهندسون وإداريون DevOps
- المختبرين
- المهندسين المعماريين
- متخصصون في أمن المعلومات
- المتخصصون الذين يرغبون في تعلم كيفية تطوير وصيانة التطبيقات والبنية التحتية بدرجة عالية من الحماية من الهجمات الخارجية والداخلية في عملية DevSecOps الآلية.

الغرض من الدورة

لا يمكن تنفيذ DevSecOps بنجاح إلا من خلال اتباع نهج متكامل للأدوات وعمليات الأعمال والأشخاص (أدوار المشاركين). توفر الدورة المعرفة حول العناصر الثلاثة وقد تم تطويرها في الأصل لدعم سلسلة أدوات CI/CD ومشروع تحويل العمال تتم معالجة DevOps إلى ممارسة DevSecOps الكاملة باستخدام أحدث أدوات الأمان الآلية.

ستغطي الدورة ميزات الأمان لأنواع التطبيقات التالية:
- التطبيقات المتجانسة التقليدية ذات الطبقة 2/3
- تطبيقات Kubernetes - في DC الخاصة بك، Public Cloud (EKS، AKS، GKE)
- تطبيقات الجوال iOS وAndroid
- التطبيقات ذات الواجهة الخلفية لـ REST API

سيتم النظر في تكامل واستخدام أدوات أمن المعلومات التجارية والمفتوحة المصدر الأكثر شيوعًا.
تركز الدورة على ممارسات Scrum/Kanban، ولكن يمكن أيضًا استخدام الأساليب والأدوات في نموذج إدارة مشروع Waterfall التقليدي.

المعرفة والمهارات التي سوف تكتسبها
- الانتقال من نموذج "حماية المحيط" الأمني ​​إلى نموذج "حماية جميع الطبقات".
- القاموس والمصطلحات والكائنات المستخدمة في أدوات أمن المعلومات - CWE، CVE، Exploit، إلخ.
- المعايير الأساسية والأساليب ومصادر المعلومات - OWASP، NIST، PCI DSS، CIS، إلخ.

سوف يتعلمون أيضًا كيفية الاندماج في CI/CD واستخدام أدوات أمن المعلومات من الفئات التالية:
- تحليل الهجمات المحتملة (نمذجة التهديدات)
- التحليل الثابت للكود المصدري للأمن (SAST)
- التحليل الديناميكي لأمن التطبيقات (IAST/DAST)
- تحليل استخدام برامج الطرف الثالث والبرامج مفتوحة المصدر (SCA)
- اختبار التكوين للتأكد من توافقه مع معايير الأمان (CIS، NIST، إلخ.)
- تصلب التكوين، الترقيع
- تطبيق إدارة الأسرار والشهادات
- تطبيق الحماية لـ REST-API داخل تطبيقات الخدمات الصغيرة وعلى الواجهة الخلفية
- تطبيق جدار حماية تطبيقات الويب (WAF)
- جدران الحماية من الجيل التالي (NGFW)
- اختبار الاختراق اليدوي والآلي (Penetration Testing)
- المراقبة الأمنية والاستجابة للأحداث في مجال أمن المعلومات (SIEM)
- تحليل الطب الشرعي

بالإضافة إلى ذلك، سيتلقى قادة الفرق توصيات بشأن ممارسات تنفيذ DevSecOps بنجاح:
- كيفية إعداد وإجراء مناقصة مصغرة وإثبات المفهوم لاختيار الأدوات بنجاح
- كيفية تغيير الأدوار والهيكل ومجالات مسؤولية فرق التطوير والدعم وأمن المعلومات
- كيفية تكييف العمليات التجارية لإدارة المنتجات والتطوير والصيانة وأمن المعلومات

على مدار 12 عامًا من العمل في مجال تكنولوجيا المعلومات، تمكنت من العمل كمطور ومختبر ومطورين ومهندسين في شركات مثل NSPK (مطور بطاقة MIR) وKaspersky Lab وSibur وRostelecom. في هذه اللحظة أنا...

تم تدقيق الشبكات التجارية منذ عام 2017. شارك في تطوير نموذج أمني للبنك الأوكراني المشترك بين الولايات "AT Oschadbank" الميزة الرئيسية للاختبار هي pentest باستخدام طريقة "الصندوق الأسود". العمل مع بايثون وبوش منذ عام 2016...