Открыто

DevSecOps: безопасная разработка и эксплуатация [Яндекс Практикум]

Тема в разделе "Курсы по администрированию", создана пользователем Топикстартер, 26 ноя 2025.

Основной список: 19 участников

Резервный список: 1 участников

  1. 26 ноя 2025
    #1
    Топикстартер
    Топикстартер ЧКЧлен клуба

    Складчина: DevSecOps: безопасная разработка и эксплуатация [Яндекс Практикум]

    i1160mFb.png

    За 3 месяца научитесь выстраивать процессы, чтобы обеспечить безопасность на всех этапах разработки приложения

    Это курс для специалистов, которые уже знакомы с DevOps‑инструментами
    Нужно иметь опыт работы с Git, Docker CI/CD и Linux, понимать принципы функционирования веб-приложения и сетевые протоколы (HTTP, TCP/IP)

    Через 3 месяца вы сможете:
    • Объяснить принципы DevSecOps и описать, как безопасность интегрируется в DevOps‑процессы на всех этапах SDLC
    • Настраивать и внедрять в CI/CD-пайплайны инструменты безопасности: SAST, SCA, DAST, WAF, Trivy, Vault и другие
    • Оценивать уязвимости в коде, зависимостях, контейнерах и инфраструктуре при помощи современных средств автоматизации
    • Разрабатывать и внедрять безопасные пайплайны с учётом угроз, рисков и лучших практик DevSecOps
    • Анализировать и минимизировать риски, используя фреймворки угроз и зрелости безопасности
    • Повышать уровень безопасности контейнеров и кластеров Kubernetes при помощи защитных мер по рекомендациям CIS Benchmarks
    • Настраивать безопасное хранение секретов и контролировать доступ к инфраструктуре при помощи Vault, Keycloak и LDAP
    • Использовать Linux-механизмы безопасности (AppArmor, SELinux, Seccomp) для защиты среды исполнения
    • Проводить тестирование на проникновение и анализ инцидентов при помощи Nmap, Metasploit, SIEM и других инструментов
    Освоите стек технологий, который соответствует современным требованиям DevSecOps:
    • Docker
    • Harbor
    • Trivy
    • SonarQube
    • Kubernetes
    • Keycloak
    • Vault
    • Terraform
    • Ansible
    • Metasploit
    • Nmap
    • Shift Left
    • Secure SDLC
    • SIEM-системы
    • CIS Benchmarks
    • Threat Modeling
    • OWASP Top 10
    • Snyk
    • Burp Suite
    • iptables
    • nftables
    • Postmortem
    • DefectDojo
    • BSIMM
    • WAF
    Программа курса:
    • Основы изоляции и поиск уязвимостей в контейнерах
    • Анализ уязвимостей в Trivy
    • Введение в DevSecOps
    • Принципы DevSecOps
    • Инструменты и технологии DevSecOps
    • Основные механизмы безопасности Linux
    • Изоляция в Docker, угрозы и атаки на контейнеры
    • Kubernetes
    • Безопасность инфраструктуры
    • Интеграция в CI/CD
    • Тестирование безопасности
    • SIEM-системы
    • MITRE ATT&CK
    • Threat Modeling
    • Итоговый проект
    Рассчитана на 3 месяца; нагрузка — от 15 часов в неделю
    3 часа
    Основы изоляции и поиск уязвимостей в контейнерах
    1 модуль — бесплатно, чтобы вы познакомились с платформой и определились, подходит ли вам курс.
    • Docker
    • Harbor
    • Trivy
    • CIS Benchmarks
    Контейнеризация в Docker
    Поймёте базовые принципы безопасности контейнеризации и идентифицируете риски и угрозы при работе с контейнерами
    Анализ уязвимостей в Trivy
    Проведёте базовую проверку контейнерных образов на наличие уязвимостей
    Управление артефактами в Harbor
    Настроите безопасное хранение артефактов в собственном приватном Docker Registry с Harbor
    Базовые рекомендации CIS Benchmarks
    Примените лучшие практики безопасности на уровне Docker
    Изолируете процессы в Docker и проверите параметры безопасности, повысите привилегии в небезопасных контейнерах через уязвимый suid-файл. Развернёте приватный реестр Harbor для хранения образов. Проверите уязвимости контейнерных образов с использованием Trivy
    1 проект・1 неделя
    Введение в DevSecOps
    • Shift Left
    • Secure SDLC
    • Threat Modeling
    • OWASP Top 10
    • MITRE ATT&CK
    • MITRE ATLAS
    Принципы DevSecOps
    Изучите их и роль безопасности на всех этапах SDLC, сможете определять базовые угрозы безопасности в разработке и эксплуатации
    Пайплайны DevSecOps
    Построите базовый пайплайн, используя концепции Shift Left и непрерывной безопасности
    Основные типы уязвимостей и атак
    Классифицируете уязвимости и угрозы в приложениях, изучите базовые фреймворки угроз: OWASP Top 10, MITRE ATT&CK, MITRE ATLAS
    Построите схему DevSecOps-пайплайна. Классифицируете угрозы на примерах приложений. Составите чек-лист OWASP Top 10 для тестового приложения
    1 проект・2 недели
    Инструменты и технологии DevSecOps
    • SonarQube
    • Snyk
    • Trivy
    • OWASP ZAP
    • Burp Suit
    • Secure SDLC
    • Shift Left Testing
    Виды анализа безопасности приложений
    Изучите основные виды анализа: статический (SAST), композиционный (SCA), динамический (DAST)
    Интеграция SAST-, SCA- и DAST-инструментов
    Интегрируете инструменты анализа безопасности в CI/CD-процессы
    Использование Secure SDLC и Shift Left Testing
    Научитесь выявлять и устранять уязвимости в коде и зависимостях
    Настроите SAST-анализ проекта через SonarQube или Snyk и SCA-сканирование зависимостей через Trivy. Интегрируете DAST-тестирования с OWASP ZAP в пайплайн CI/CD. Проанализируете результаты сканирования и исправите найденные уязвимости
    1 проект・1 неделя
    Безопасность Linux
    • AppArmor
    • SELinux
    • Seccomp
    • iptables
    • nftables
    Основные механизмы безопасности Linux
    Изучите основные механизмы безопасности операционных систем на базе Linux
    Настройка контроля доступа
    Научитесь управлять пользователями, группами и правами доступа в Linux, настроите политики безопасности через AppArmor и SELinux, примените механизмы ограничения системных вызовов через Seccomp
    Средства защиты ядра и процессов
    Научитесь применять базовые средства защиты ядра и процессов, настроите сетевые правила безопасности в Linux
    Настроите политики AppArmor для ограничения прав приложений. Ограничите системные вызовы контейнера через Seccomp. Проверите и настроите базовые политики доступов к файлам и каталогам, а также к фильтрации сетевого трафика через iptables
    1 проект・2 недели
    Безопасность Docker
    • Docker
    • Harbor
    • Trivy
    • CIS Benchmarks
    Изоляция в Docker, угрозы и атаки на контейнеры
    Изучите принципы изоляции в Docker, сможете идентифицировать угрозы и атаки, связанные с контейнеризацией приложений
    Сборка и запуск контейнеров
    Научитесь применять лучшие практики безопасности на этапе сборки образов (минимизация базовых образов, отказ от лишних привилегий) и запускать контейнеры в рантайме
    Docker Registry с Harbor
    Развернёте и безопасно настроите приватные репозитории для хранения Docker-образов с помощью Harbor
    Анализ безопасности контейнеров
    Проанализируете уязвимости контейнерных образов с помощью специализированных инструментов
    Примените лучшие практики безопасности на этапах сборки образов и запуска контейнеров. Интегрируете инструменты для анализа безопасности в CI/CD‑процессы
    1 проект・2 недели
    Безопасность Kubernetes
    • Kubernetes
    • CIS Kubernetes Benchmark
    • RBAC
    • NetworkPolicies
    Угрозы безопасности в K8s
    Научитесь анализировать риски и угрозы в Kubernetes-кластере
    Политики безопасности в K8s
    Настроите политики безопасности и сетевые политики (PodSecurityPolicies и NetworkPolicies) в кластере Kubernetes
    Защита K8s-кластеров
    Научитесь применять лучшие практики безопасности для защиты кластеров (CIS Benchmarks для Kubernetes)
    Развернёте кластер Kubernetes и настроите базовые политики безопасности и сетевые политики для ограничения трафика. Примените рекомендации CIS Benchmark на практике. Ограничите права приложений через настройки RBAC
    1 проект・1 неделя
    Безопасность инфраструктуры
    • LDAP
    • Keycloack
    • Vault
    • Terraform
    • Ansible
    Управление пользователями и доступами
    Настроите реалмы, федерации и пользователей в Keycloak, интегрируете Keycloak с внешними системами через LDAP
    Хранение секретов
    Настроите безопасное хранение секретов и политик доступа в Vault
    Инфраструктура как код (IaC)
    Научитесь использовать безопасные подходы при работе с Terraform и Ansible
    Интеграция в CI/CD
    Интегрируете в CI/CD-процессы системы управления доступами и секретами для безопасной работы
    Настроите Keycloak, развернёте Vault и интегрируете его в пайплайн CI/CD. Настроите в Harbor безопасное хранение Docker-образов с аутентификацией через Keycloak. Используете базовые правила безопасности при работе с Terraform и Ansible
    1 проект・1 неделя
    Тестирование безопасности
    • Metasploit
    • Nmap
    • OWASP Testing Guide
    • Penetration Testing
    Принципы тестирования безопасности
    Проведёте базовое тестирование приложения и инфраструктуры на безопасность
    Инструменты для тестирования безопасности
    Научитесь искать и анализировать уязвимости с помощью Metasploit и Nmap
    Безопасное окружение
    Подготовите окружение для безопасного тестирования
    Развернёте тестовое приложение для проверки безопасности. Используете Nmap для сканирования портов и выявления уязвимых сервисов. Проведёте базовые тесты безопасности приложений с помощью Metasploit
    1 проект・1 неделя
    Мониторинг и реагирование на инциденты
    • SIEM-системы
    • MITRE ATT&CK
    • Postmortem
    SIEM-системы
    Настроите с помощью SIEM-систем мониторинг событий безопасности: сбор, анализ и корреляцию событий
    MITRE ATT&CK
    Научитесь применять фреймворк MITRE ATT&CK для интерпретации и классификации атак
    Анализ инцидентов и Postmortem
    Проведёте первичный анализ инцидента и подготовите Postmortem по результатам инцидента
    Настроите мониторинг событий безопасности через SIEM. Сделаете корреляцию событий в реальном времени с помощью MITRE ATT&CK. Проанализируете инцидент на основе собранных логов, напишете Postmortem по итогам анализа инцидента
    2 проекта・1 неделя
    Оценка угроз и рисков, фреймворки оценки уровня зрелости безопасности
    • OWASP Threat Modeling
    • MITRE ATT&CK
    • DefectDojo
    • BSIMM
    • OWASP SAMM
    • ISO 27001
    • NIST 800-53
    Threat Modeling
    Построите модель угроз для приложений и инфраструктуры, разработаете сценарии атак на основе Threat Modeling
    Управление уязвимостями
    Научитесь использовать DefectDojo для управления уязвимостями
    Зрелость процессов безопасности
    Оцените процессы безопасности через фреймворки BSIMM и OWASP SAMM, примените международные стандарты безопасности (ГОСТ, ISO, NIST)
    Проведёте Threat Modeling для тестового приложения. Разработаете сценарии атак на основе построенной модели угроз, проведёте учёт и научитесь управлять уязвимостями с помощью DefectDojo. Оцените уровень зрелости безопасности проекта и разработаете стратегию его повышения на основе выявленных рисков и уязвимостей
    Самостоятельно・2 недели
    Итоговый проект
    Оцените уровень DevSecOps-практик в приложении и предложите план улучшений. В результате создадите DevSecOps-пайплайн, построите модель угроз, проанализируете риски, проведёте оценку зрелости практик DevSecOps и сформируете набор рекомендаций.
    Как устроен курс

    Цена 88000 руб
    Скрытая ссылка
     
    2 пользователям это понравилось.
  2. Последние события

    1. MariaChe
      MariaChe участвует в складчине.
      14 апр 2026 в 15:51
    2. skladchik.com
      В складчине участвует 20 человек(а).
      22 мар 2026
    3. burkins
      burkins не участвует в складчине.
      2 мар 2026
    4. Magenta001
      Magenta001 участвует в складчине.
      15 янв 2026