Temario del curso
1. Fundamentos de DevSecOps: Seguridad por diseño
Aprender: Principios centrales de DevSecOps y SDLC seguro
Demostración: Comparación lado a lado de pipas seguras heredadas versus modernas
Laboratorio: Construir su primera plantilla de pipa habilitada para DevSecOps
2. Bootcamp de pruebas de seguridad OWASP ZAP
Simulación de violación:
- Desplegar una aplicación vulnerable con SQLi y XSS
- Usar OWASP ZAP para detectar y mitigar amenazas
Tácticas de defensa:
- Escaneo automatizado con ZAP
- Integración de CI/CD a través de la API de ZAP
Laboratorio: Personalizar escaneos de línea base de ZAP + reglas de ataque
Desafío: “Encontrar el panel de administración oculto en 10 minutos”
3. Infierno de dependencias: Defensa de la cadena de suministro
Simulación de violación:
- Inyectar un paquete npm malicioso con CVE
Tácticas de defensa:
- Monitorear vulnerabilidades con OWASP Dependency-Track
- Aplicar puertas de política que fallen las compilaciones en CVE críticos
Laboratorio: Crear políticas de vulnerabilidad y flujos de trabajo de alerta
Demostración impactante: “Cómo una sola dependencia mala puede tomar el control de su infraestructura”
4. Sala de guerra de gestión de vulnerabilidades
Simulación de violación:
- Explotar vulnerabilidades no parcheadas en contenedores
Tácticas de defensa:
- Centralizar la información con OWASP DefectDojo
- Escanear contenedores con Trivy
Laboratorio: Construir tableros de control en tiempo real para informes al CISO/directivos
Competencia: “Clasificar 50 hallazgos más rápido que sus rivales”
5. Simulacro de emergencia de secretos y configuración
Simulación de violación:
- Extraer secretos del historial de Git usando truffleHog
Tácticas de defensa:
- Ganchos de pre-commit para bloquear patrones como
password=.* - Usar la araña de configuración de ZAP para detectar configuraciones peligrosas
Laboratorio: Implementar escaneo de secretos en GitHub Actions
Verificación de la realidad: “Su contraseña de base de datos está ahora mismo en Slack”
6. Cierre: Plan de batalla de DevSecOps
Hoja de ruta de integración de OWASP:
- Planificar su adopción de DefectDojo, Dependency-Track y ZAP
Plan de acción personal:
- Bocetar su lista de verificación de seguridad de 30 días
- Definir sus KPI de DevSecOps y tableros de información
Requerimientos
Experiencia básica en software y ciclo de vida de desarrollo de software (SDLC)
Público
Ingenieros DevOps, de seguridad y de la nube que desean prácticas reales sobre discursos teóricos sobre seguridad
Reseñas (1)
Que fue muy claro en cada especificación