SonarQube za sigurni SDLC i Azure DevOps Kurs za obuku

1. Koncepti i obim statičke analize koda

• Definicije: statička analiza, SAST, kategorije i težina pravila
• Obim statičke analize u sigurnom SDLC-u i pokrivenost rizika
• Kako SonarQube uklapa sigurnosne kontrole i tokove rada developera

2. Pregled SonarQube: funkcionalnosti i arhitektura

• Osobine usluga, baza podataka i komponente skenera
• Kvalitetne kapi (Quality Gates), kvalitetni profili (Quality Profiles) i najbolje prakse za Quality Gates
• Funkcionalnosti vezane za bezbednost: ranjivosti, SAST pravila i mapiranje CWE

3. Navigacija i korišćenje SonarQube servera UI

• Obilazak servera UI: projekti, problemi, pravila, mere i pregledi upravljanja
• Tumačenje stranica problema, praćenje izvora i smernice za ispravljanje
• Generisanje i izvoz izveštaja

4. Konfiguracija SonarScannera sa alatima za gradnju

• Postavljanje SonarScannera za Maven, Gradle, Ant i MSBuild
• Najbolje prakse za svojstva skenera, isključenja i više-modulske projekte
• Generisanje potrebnih testnih podataka i izveštaja o pokrivenosti za tačnu analizu

5. Integracija sa Azure DevOps-om

• Konfiguracija SonarQube veza za usluge u Azure DevOps-u
• Dodavanje SonarQube zadataka u Azure Pipelines i ukras PR-ova (PR decoration)
• Uvoz Azure Repos u SonarQube i automatizacija analiza

6. Konfiguracija projekta i trećostrani analizatori

• Kvalitetni profili na nivou projekta i izbor pravila za Java i Angular
• Rad sa trećostranim analizatorima i životni ciklus dodataka
• Definisanje parametara analize i nasleđivanje parametara

7. Uloge, odgovornosti i pregled metodologije sigurnog razvoja

• Razdvajanje uloga: developeri, pregledači, DevOps, vlasnici bezbednosti
• Konstrukcija matrice uloga i odgovornosti za CI/CD procese
• Pregled i proces preporuka za postojeću metodologiju sigurnog razvoja

8. Napredno: dodavanje pravila, podešavanje i unapređenje globalnih funkcija bezbednosti

• Korišćenje SonarQube Web API-ja za dodavanje i upravljanje prilagođenim pravilima
• Podešavanje Quality Gates i automatizovano izvršavanje politika
• Ojačavanje bezbednosti SonarQube servera i najbolje prakse kontrole pristupa

9. Sesije praktičnih laboratorija (primena)

• Laboratorija A: Konfiguracija SonarScannera za 5 Java repozitorijuma (Quarkus gde je primenljivo) i analiza rezultata
• Laboratorija B: Konfiguracija Sonar analize za 1 Angular frontend i tumačenje nalaza
• Laboratorija C: Kompletan pipeline – integracija SonarQube sa Azure DevOps pipelineom i omogućavanje PR ukrašenja

10. Testiranje, rešavanje problema i tumačenje izveštaja

• Strategije za generisanje testnih podataka i merenje pokrivenosti
• Uobičajeni problemi i rešavanje grešaka skenera, pipelinea i dozvola
• Kako čitati i predstavljati SonarQube izveštaje tehničkim i netehničkim zainteresovanim licima

11. Najbolje prakse i preporuke

• Izbor seta pravila i strategije postepene primene
• Preporuke za tok rada developera, pregledača i pipelinea za gradnju
• Roadmap za skaliranje SonarQube u preduzećima

Zaključak i sledeći koraci