Чему вы научитесь
- Понимать, как SAST анализирует код: AST, поток данных и taint-анализ
- Запускать Semgrep, Bandit и SpotBugs с FindSecBugs по Python- и Java-проектам и читать их отчеты
- Сравнивать результаты сканеров, отличать реальные уязвимости от ложных срабатываний и обосновывать решение
- Настраивать сканирование с baseline, чтобы выделять находки, появившиеся в новых изменениях
- Писать и тестировать собственные правила Semgrep, включая taint-правила
- Определять, какие уязвимости выбранные сканеры пропустили и почему
- Исправлять SQL-инъекцию и проверять исправление тестами и повторным сканированием
О курсе
В данном курсе вы найдете реальные уязвимости в Python и Java тремя SAST-сканерами, научитесь отличать настоящие находки от ложных и писать собственные правила Semgrep
Для кого этот курс
• разработчики на Python и Java, которые хотят понимать отчеты сканеров в своих merge request;
• DevOps- и DevSecOps-инженеры, которые внедряют SAST в пайплайн;
• начинающие AppSec-специалисты;
• те, кто прошел вводный курс «DevSecOps и SAST: введение;
Начальные требования
- уверенная работа в командной строке;
- базовые команды git;
- компьютер с Linux или macOS (виртуалки тоже подойдут);
- Docker и Docker Compose v2;
- от 2 ГБ свободной оперативной памяти и от 6 ГБ на диске;
- интернет для скачивания образов Docker.
Преподаватели курса
3
Как проходит обучение
Короткие текстовые уроки, тесты и девять лабораторных на вашем компьютере. Ответы вводятся на Stepik и проверяются автоматически.
Сертификат
Успешно завершив курс, вы получите сертификат от платформы Stepik. Уже 1 учеников получили сертификат.
Что вы получите
- девять лабораторных работ с вопросами на Stepik, локальными проверками правил и регрессионными тестами исправления;
- собственные правила Semgrep для использования в своих проектах;
- понимание, где SAST работает, а где нужен другой класс инструментов;
- сертификат Stepik.
Нагрузка
15-20 часов