DevSecOps 训练营 | DevSecOps Bootcamp

DevSecOps Bootcamp 是由专业培训网站 Techworld with Nana 联合推出的综合性、面向项目的 DevSecOps 实战培训课程。

学习 DevSecOps，实现个人价值十倍提升

通过漏洞扫描、云安全、Kubernetes 安全等核心技术实现安全自动化，快速掌握行业紧俏技能，在职场中脱颖而出。据统计，网络犯罪每年将给企业造成 10.5 万亿美元的损失，随着网络攻击频率持续攀升，市场对 DevSecOps 专业人才的需求已达到历史峰值。掌握该技能，即可成为行业认可的顶尖技术人才，轻松斩获高薪工作。

核心价值：在 DevOps 全流程深度融合安全能力

本课程将帮助你将安全能力无缝融入 DevOps 的每一个环节，全面提升安全管控水平。

学完即可掌握的核心能力

• 在实际工作中落地完整的 DevSecOps 流程体系
• 搭建高安全性的 CI/CD 自动化流水线
• 主导企业 DevSecOps 技术落地与推广
• 自动化执行安全检查，避免工作流程瓶颈
• 精准检测、可视化分析并修复安全漏洞
• 加固 AWS 云环境，编写安全的基础设施即代码（IaC）
• 通过自动化与安全最佳实践保护 Kubernetes 集群

课程核心学习内容

• DevSecOps 核心概念：静态应用安全测试（SAST）、软件组件分析（SCA）、动态应用安全测试（DAST）、安全即代码（Security as Code）
• 主流安全扫描工具：GitLeaks、Semgrep、njsScan、RetireJS、Zap、Trivy、TFSec
• 密钥管理技术：Vault、AWS KMS 密钥管理方案
• 企业级 DevSecOps 工具链：DefectDojo、Vault、AWS Secrets Manager、InSpec
• 可观察性、GitOps、云安全、容器镜像安全核心理论与工具
• 合规性与策略代码化落地实践
• DevSecOps 团队角色与岗位职责

最全体系 DevSecOps 课程大纲

1. 安全基础

• 企业安全的核心重要性
• 典型安全漏洞实战案例
• 主流网络安全攻击类型
• OWASP 十大安全风险详解

2. DevSecOps 简介

• 传统安全防护模式的痛点与问题
• DevSecOps 核心理念与价值
• 自动化安全测试工具基础
• DevSecOps 团队角色与岗位职责

3. 构建安全 CI 流水线

• 代码漏洞全流程扫描
• 预提交钩子安全配置
• 静态应用安全测试（SAST）与软件组件分析（SCA）实战
• 扫描结果可视化、误报分析与漏洞修复
• 安全扫描与持续集成流水线集成
• 核心工具：GitLeaks、njsScan、Semgrep、Retire.js、DefectDojo、GitLab CI

4. 构建安全容器镜像

• Docker 安全最佳实践
• 发布流水线容器镜像扫描
• Docker 仓库镜像安全扫描
• 核心工具：Trivy、Docker、AWS ECR、GitLab CI

5. 云安全（AWS）

• AWS 访问管理：用户、组、角色、策略配置
• AWS 安全基础设施即代码（IaC）
• AWS 日志审计与实时监控

6. 安全应用部署

• 发布流水线安全应用部署
• AWS 系统管理器代理（SSM）应用
• 部署专用 AWS 角色配置
• 无静态 AWS 凭证的安全部署方案

7. 动态应用安全测试（DAST）

• 动态应用安全测试实战
• DAST 工具与发布流水线集成
• 动态扫描结果修复与优化
• 基线扫描与完整扫描方案
• 核心工具：Zap、DefectDojo

8. 安全的基础设施即代码

• IaC 安全基础设施定义实践
• DevSecOps 体系下的 IaC 应用
• GitOps 实践 + IaC 项目发布流水线搭建
• IaC 代码安全检查与流水线集成
• 核心工具：Terraform、AWS、TFSec

9. AWS 日志记录与监控

• AWS CloudTrail 安全审计
• AWS CloudWatch 监控与告警配置
• 云资源成本计费告警设置

本模块为 2024 年第一季度第二个版本更新内容

10. 安全 Kubernetes 与 EKS 安全部署

• Istio 服务网格安全配置
• 企业级密钥管理方案
• Kubernetes Secrets 安全实践
• HashiCorp Vault、AWS KMS、AWS Secrets Manager 实战
• Kubernetes 核心安全最佳实践、RBAC 权限管控
• AWS EKS、ECR IAM 角色配置
• 配置错误与安全漏洞扫描
• 安全策略 + 开放策略代理（OPA）+ 策略即代码落地

11. 可观察性

• 安全事件全生命周期管理
• 日志审计与软件开发、运维流程深度集成

12. 治理与合规性即代码

• CIS 安全基准落地
• 企业安全治理与合规体系建设
• 合规性代码化自动落地实践

13. 企业 DevSecOps 落地

• DevSecOps 安全文化推广策略
• 企业 DevSecOps 原则落地实施步骤

课程学习先决条件

需具备以下 DevOps 技术与概念的中级理解能力：

• 独立搭建完整 CI/CD 流水线
• Docker 容器技术
• Kubernetes 容器编排
• Linux 操作系统
• Git 版本控制
• AWS 云平台操作
• Terraform 基础设施即代码
• GitLab CI/CD 自动化工具

推荐先修课程：DevOps 训练营、GitLab CI/CD 从入门到精通