DevSecOps: تأمين الشيفرة والتبعيات والحاويات
إدماج الأمن منذ الأسطر الأولى من الشيفرة — الأسرار، والتحليل الثابت، والتبعيات، وقائمة مكوّنات البرمجيات (SBOM)، وصور Docker، والتوقيعات — وجعل منصة CI تفرضه تلقائيًا.
تكوين MasterLinux · نص أصلي
ما الذي ستتعلّمه
- فهم مبدأ «shift-left» والتعرّف على مخاطر OWASP Top 10 في شيفرة حقيقية
- نمذجة تهديدات تطبيق بمنهجية STRIDE قبل كتابة السطر الأول
- عدم إيداع أي سرّ في Git أبدًا، واكتشافه بأداة Gitleaks وتنظيف سجلّ Git
- قراءة نتائج التحليل الثابت وتصحيحها وكتابة قواعد خاصة بأداة Semgrep
- اكتشاف التبعيات المصابة بثغرات وتصحيحها باستعمال npm audit وpip-audit، وأتمتة التحديثات
- إنتاج قائمة مكوّنات SBOM بصيغة CycloneDX أو SPDX باستعمال Syft والاستفادة منها
- فحص الصور والمستودعات وملفات البنية التحتية باستعمال Trivy
- كتابة ملف Dockerfile مُقوّى — متعدد المراحل، بصورة مصغّرة، وبمستخدم غير root
- توقيع ما تنشره والتحقق منه (مجاميع التحقق، المفاتيح، cosign وSigstore)
- وضع بوابات أمنية في GitHub Actions وGitLab CI توقف أي ثغرة حرجة
برنامج التكوين
11 درسًا · 10 س 55 دالقسم 1 — الأساسيات
القسم 2 — تحليل الشيفرة
القسم 3 — الحاويات وسلسلة التسليم
القسم 4 — المشروع النهائي
المتطلبات
- دورة «الأساسيات» (مُدرجة) أو ممارسة جيدة لسطر أوامر Linux
- معرفة Git (clone وcommit وpush) وأساسيات خطّ CI
- القدرة على قراءة قليل من JavaScript أو Python؛ ومعرفة Docker ميزة إضافية
لمن هذا التكوين؟
- المطوّرون الشباب الذين يريدون تسليم شيفرة آمنة منذ البداية
- مهندسو DevOps الذين يجب عليهم إدماج الأمن في خطوط CI/CD
- فرق التكنولوجيا المالية والتجارة الإلكترونية والخدمات العمومية الرقمية الخاضعة للقانون 09-08