Temario del curso
1. Fundamentos de DevSecOps: Seguridad por diseño
Aprendizaje: Principios fundamentales de DevSecOps y SDLC seguro
Demostración: Comparación lado a lado de pipelines seguros tradicionales frente a los modernos
Laboratorio: Cree su primera plantilla de pipeline habilitada para DevSecOps
2. Formación intensiva en pruebas de seguridad con OWASP ZAP
Simulación de incursión:
- Desplegar una aplicación vulnerable con SQLi y XSS
- Usar OWASP ZAP para detectar y mitigar amenazas
Tácticas de defensa:
- Escaneo automatizado con ZAP
- Integración en CI/CD a través de la API de ZAP
Laboratorio: Personalizar escaneos de línea base de ZAP + reglas de ataque
Desafío: “Encuentra el panel de administración oculto en 10 minutos”
3. El infierno de las dependencias: Defensa de la cadena de suministro
Simulación de incursión:
- Inyectar un paquete npm malicioso con CVEs
Tácticas de defensa:
- Monitorear vulnerabilidades con OWASP Dependency-Track
- Aplicar puertas de política que hagan fallar las compilaciones ante CVEs críticos
Laboratorio: Crear políticas de vulnerabilidad y flujos de trabajo de alertas
Demostración impactante: “Cómo una sola dependencia deficiente puede comprometer su infraestructura”
4. Sala de guerra de gestión de vulnerabilidades
Simulación de incursión:
- Explotar vulnerabilidades no parcheadas en contenedores
Tácticas de defensa:
- Centralizar informes con OWASP DefectDojo
- Escanear contenedores con Trivy
Laboratorio: Construir paneles de control reales para informes ejecutivos/CISO
Competencia: “Clasifica 50 hallazgos más rápido que tus rivales”
5. Práctica de emergencia: Secretos y configuración
Simulación de incursión:
- Extraer secretos del historial de Git utilizando truffleHog
Tácticas de defensa:
- Gancho pre-commit para bloquear patrones como
password=.* - Usar el rastreador de configuración de ZAP para detectar configuraciones peligrosas
Laboratorio: Implementar el escaneo de secretos en GitHub Actions
Realidad: “Su contraseña de base de datos está en Slack ahora mismo”
6. Cierre: Plan de batalla DevSecOps
Hoja de ruta de integración de OWASP:
- Planifique la adopción de DefectDojo, Dependency-Track y ZAP
Plan de acción personal:
- Redacte su lista de verificación de seguridad de 30 días
- Defina sus KPIs de DevSecOps y paneles de informe
Requerimientos
Experiencia fundamental en software y ciclo de vida de desarrollo (SDLC)
Público objetivo
Ingenieros DevOps, de Seguridad y en la Nube que prefieren la práctica a las charlas teóricas de seguridad
Reseñas (1)
Que fue muy claro en cada especificación