SonarQube voor een veilige SDLC en Azure DevOps Training Cursus

1. Concepten en reikwijdte van statische code-analyse

• Definitie: statische analyse, SAST, regelcategorieën en ernst
• Reikwijdte van statische analyse in een veilige SDLC en risicodekking
• Hoe SonarQube past in beveiligingsmaatregelen en ontwikkelingsworkflows

2. Overzicht van SonarQube: functies en architectuur

• Kernservices, database en scannercomponenten
• Quality Gates, Quality Profiles en best practices voor Quality Gates
• Beveiligingsgerichte functies: kwetsbaarheden, SAST-regels en CWE-mapping

3. Navigatie en gebruik van de SonarQube Server UI

• Rondleiding door de Server UI: projecten, issues, regels, maatregelen en governance-weergaven
• Interpreteren van issue-pagina's, traceerbaarheid en aanbevelingen voor correcties
• Rapportagegeneratie en exportopties

4. Configuraties van SonarScanner met bouwtools

• Opzetten van SonarScanner voor Maven, Gradle, Ant en MSBuild
• Best practices voor scanner-eigenschappen, uitsluitingen en multi-module projecten
• Genereren van benodigde testdata en coverage-rapporten voor een nauwkeurige analyse

5. Integratie met Azure DevOps

• Configuratie van SonarQube-serviceverbindingen in Azure DevOps
• Toevoegen van SonarQube-taken aan Azure Pipelines en PR-decoration
• Importeren van Azure Repos naar SonarQube en automatisering van analyses

6. Projectconfiguratie en analyzers van derde partijen

• Projectniveau Quality Profiles en regelkeuze voor Java en Angular
• Werken met analyzers van derde partijen en de levenscyclus van plugins
• Definiëren van analyseparameters en parametererfelijkheid

7. Rollen, verantwoordelijkheden en evaluatie van de methode voor veilige ontwikkeling

• Scheiding van rollen: ontwikkelaars, reviewers, DevOps, eigenaars van beveiliging
• Samenstellen van een matrix van rollen en verantwoordelijkheden voor CI/CD-processen
• Review en aanbevelingsproces voor een bestaande methode voor veilige ontwikkeling

8. Geavanceerd: toevoegen van regels, afstemmen en versterken van globale beveiligingsfuncties

• Gebruik van de SonarQube Web API om aangepaste regels toe te voegen en te beheren
• Afstemmen van Quality Gates en geautomatiseerde toepassing van beleid
• Versterken van de beveiliging van de SonarQube-server en best practices voor toegangsbeheer

9. Hands-on lab-sessies (toegepast)

• Lab A: SonarScanner configureren voor 5 Java-repository's (Quarkus waar van toepassing) en resultaten analyseren
• Lab B: Sonar-analyse configureren voor 1 Angular frontend en bevindingen interpreteren
• Lab C: Volledige pipelinelab—SonarQube integreren met een Azure DevOps-pipeline en PR-decoration inschakelen

10. Testing, probleemoplossing en rapportinterpretatie

• Strategieën voor het genereren van testdata en het meten van coverage
• Veelvoorkomende problemen en het oplossen van scanner-, pipeline- en autorisatiefouten
• Hoe SonarQube-rapporten lezen en presenteren aan technische en niet-technische belanghebbenden

11. Best practices en aanbevelingen

• Keuze van regelselecties en strategieën voor incrementele doorzettingscapaciteit
• Aanbevelingen voor workflows voor ontwikkelaars, reviewers en bouwpipelines
• Roadmap voor het schalen van SonarQube in enterprise-omgevingen

Samenvatting en volgende stappen