Paiement par virement bancaire · Marocتعلَّم · مارِس · أتقِن

Catalogue / Cybersécurité

DevSecOps : sécuriser le code, les dépendances et les conteneurs

Intégrer la sécurité dès les premières lignes de code — secrets, analyse statique, dépendances, SBOM, images Docker, signatures — et la faire respecter automatiquement par la CI.

  • Intermédiaire à avancé
  • 11 leçons
  • 10 h 55

Formation MasterLinux · Texte original

Ce que vous apprendrez

  • Comprendre le « shift-left » et reconnaître les risques de l'OWASP Top 10 dans du vrai code
  • Modéliser les menaces d'une application avec STRIDE avant d'écrire la première ligne
  • Ne jamais commiter un secret, le détecter avec Gitleaks et nettoyer l'historique Git
  • Lire, corriger et écrire des règles d'analyse statique avec Semgrep
  • Trouver et corriger les dépendances vulnérables avec npm audit et pip-audit, et automatiser les mises à jour
  • Produire un SBOM CycloneDX ou SPDX avec Syft et savoir l'exploiter
  • Scanner images, dépôts et fichiers d'infrastructure avec Trivy
  • [object Object]
  • Signer et vérifier ce que l'on publie (sommes de contrôle, clés, cosign et Sigstore)
  • Installer des portes de sécurité dans GitHub Actions et GitLab CI qui bloquent une vulnérabilité critique

Programme de la formation

11 leçons · 10 h 55
Section 1 — Fondamentaux3 leçons · 2 h 30
  1. Shift-left et OWASP Top 10 : la sécurité commence dans l'éditeur Aperçu45 min
  2. Modéliser les menaces avec STRIDE 55 min
  3. Secrets : ne jamais les commiter, les détecter avec Gitleaks et nettoyer l'historique 50 min
Section 2 — Analyser le code3 leçons · 2 h 45
  1. SAST avec Semgrep : lire, corriger et écrire des règles 1 h 00
  2. Dépendances vulnérables : npm audit, pip-audit, overrides et Dependabot 55 min
  3. SBOM avec Syft : inventorier ce que vous livrez (CycloneDX et SPDX) 50 min
Section 3 — Conteneurs et chaîne de livraison4 leçons · 3 h 40
  1. Scanner images et fichiers d'infrastructure avec Trivy 55 min
  2. Écrire un Dockerfile durci 50 min
  3. Signer et vérifier : sommes, clés, cosign et Sigstore 55 min
  4. Portes de sécurité dans la CI : GitHub Actions et GitLab CI 1 h 00
Section 4 — Projet final1 leçon · 2 h 00
  1. Projet final : sécuriser de bout en bout l'API « api-souk » 2 h 00

Prérequis

  • Le cours « Fondamentaux » (inclus) ou une bonne pratique de la ligne de commande Linux
  • Git (cloner, valider, pousser) et les bases d'un pipeline CI
  • Savoir lire un peu de JavaScript ou de Python ; des notions de Docker sont un plus

À qui s’adresse cette formation ?

  • Jeunes développeurs qui veulent livrer du code sûr dès le départ
  • Ingénieurs DevOps qui doivent ajouter la sécurité dans leurs pipelines
  • Équipes de fintech, d'e-commerce ou de services publics en ligne soumises à la loi 09-08