Sécurité des Processus DevSecOps
Cette formation a pour objectif d’intégrer la sécurité dans les processus DevOps, en mettant l’accent sur l’audit des dépôts de code, la sécurisation des chaînes CI/CD, et la mise en place de tests de non-régression (TNR) sécurisés. Elle permet de structurer une démarche DevSecOps dans un environnement de développement agile ou en intégration continue, en lien avec les bonnes pratiques du secteur.
Maîtrise des bases du développement logiciel et de Git
Aucune information disponible.
- Comprendre les enjeux et vecteurs de risques dans une chaîne CI/CD
- Auditer des dépôts de code pour y détecter des failles ou erreurs critiques
- Sécuriser les pipelines CI/CD contre les attaques de type supply chain
- Intégrer des tests de non-régression automatisés avec vérifications de sécurité
- Définir une politique DevSecOps adaptée à leur organisation
- Introduction à DevSecOps et à la CI/CD
- Enjeux de sécurité dans les workflows DevOps
- Menaces courantes : fuites de secrets, dépendances vulnérables, élévation de privilèges
- Tour d’horizon des outils CI/CD : GitHub Actions, GitLab CI, Jenkins
- Audit de dépôts de code
- Revue automatisée de code : SAST, secrets, dépendances
- Outils : GitLeaks, TruffleHog, SonarQube, Semgrep, Dependency-Check
- Bonnes pratiques de configuration GitHub/GitLab (droits, branches protégées, validations)
- Sécurisation des pipelines CI/CD
- Gestion des secrets et tokens
- Isolation des runners et durcissement des scripts
- Intégration de scans de vulnérabilités dans les workflows
- Protection contre les attaques internes ou par dépendance compromise
- Tests de non-régression (TNR) et sécurité
- Mise en place de TNR automatisés (tests fonctionnels, API, sécurité)
- Outils : OWASP ZAP CLI, Postman/Newman, Pytest, GitLab Security Scan
- Contrôle qualité et vérification des résultats dans la chaîne DevSecOps
- Étude de cas / Mise en pratique
- Mise en place d’un pipeline sécurisé sur projet existant ou fourni
- Audit complet d’un dépôt avec intégration SAST + TNR
- Simulation de détection de faille dans une PR (Pull Request)
- Alternance entre théorie et ateliers pratiques guidés
- Analyse de cas réels et simulation de pipelines compromis
- Démonstrations en environnement CI/CD simulé ou réel
- Dépôts Git de test avec vulnérabilités connues
- Environnements GitHub/GitLab CI ou Jenkins préconfigurés
- Toolbox DevSecOps (CLI, scanners, scripts)
- Support de cours numérique, modèles de pipelines et guides d’implémentation
Aucune information disponible.