Vielen Dank für die Zusendung Ihrer Anfrage! Eines unserer Teammitglieder wird Sie in Kürze kontaktieren.
Vielen Dank, dass Sie Ihre Buchung abgeschickt haben! Eines unserer Teammitglieder wird Sie in Kürze kontaktieren.
Dauer 21 Stunden
Schulungsübersicht
1. Konzepte und Umfang der statischen Codeanalyse
- Definitionen: Statische Analyse, SAST, Regelkategorien und Schweregrade
- Umfang der statischen Analyse im sicheren SDLC und Risikabedienung
- Einfügung von SonarQube in Sicherheitskontrollen und Entwickler-Workflows
2. Überblick über SonarQube: Funktionen und Architektur
- Kernservices, Datenbank und Scanner-Komponenten
- Quality Gates, Quality Profiles und Best Practices für Quality Gates
- Sicherheitsbezogene Funktionen: Schwachstellen, SAST-Regeln und CWE-Zuordnung
3. Navigation und Nutzung der SonarQube-Server-Oberfläche
- Führung durch die Server-Oberfläche: Projekte, Probleme, Regeln, Messwerte und Governance-Ansichten
- Interpretation von Problemseiten, Nachverfolgbarkeit und Reparaturleitfäden
- Berichtserstellung und Exportoptionen
4. Konfiguration von SonarScanner mit Build-Tools
- Einrichtung von SonarScanner für Maven, Gradle, Ant und MSBuild
- Best Practices für Scanner-Eigenschaften, Ausschlüsse und Multi-Modul-Projekte
- Generierung notwendiger Testdaten und Coverage-Reports für eine genaue Analyse
5. Integration mit Azure DevOps
- Konfiguration von SonarQube-Service-Verbindungen in Azure DevOps
- Hinzufügen von SonarQube-Aufgaben zu Azure Pipelines und PR-Dekoration
- Import von Azure-Repos in SonarQube und Automatisierung der Analysen
6. Projektkonfiguration und Drittanbieter-Analyser
- Projektspezifische Quality Profiles und Regelauswahl für Java und Angular
- Arbeiten mit Drittanbieter-Analysern und Plugin-Lebenszyklus
- Definition von Analyseparametern und Parameter-Erbschaft
7. Rollen, Zuständigkeiten und Überprüfung der sicheren Entwicklungsmethodik
- Unterscheidung der Rollen: Entwickler, Reviewer, DevOps, Sicherheitsverantwortliche
- Aufbau einer Rollen- und Zuständigkeitsmatrix für CI/CD-Prozesse
- Prüfung und Empfehlungsprozess für eine bestehende sichere Entwicklungsmethodik
8. Fortgeschritten: Hinzufügen von Regeln, Feinabstimmung und Verbesserung globaler Sicherheitsfunktionen
- Nutzung der SonarQube-Web-API zum Hinzufügen und Verwalten benutzerdefinierter Regeln
- Anpassung von Quality Gates und automatisierte Policy-Durchsetzung
- Härtung der SonarQube-Server-Sicherheit und Best Practices für Zugriffskontrollen
9. Praktische Lab-Sitzungen (Angewandt)
- Lab A: Konfiguration von SonarScanner für 5 Java-Repositories (Quarkus wo anwendbar) und Analyse der Ergebnisse
- Lab B: Konfiguration der Sonar-Analyse für 1 Angular-Frontend und Interpretation der Ergebnisse
- Lab C: Vollständige Pipeline-Übung – Integration von SonarQube in eine Azure-DevOps-Pipeline und Aktivierung der PR-Dekoration
10. Testen, Fehlerbehebung und Berichtsininterpretation
- Strategien für die Testdatengenerierung und Coverage-Messung
- Häufige Probleme und Fehlerbehebung bei Scanner-, Pipeline- und Berechtigungsfehlern
- Lesen und Präsentation von SonarQube-Berichten an technische und nicht-technische Stakeholder
11. Best Practices und Empfehlungen
- Regelwerk-Auswahl und inkrementelle Durchsetzungsstrategien
- Workflow-Empfehlungen für Entwickler, Reviewer und Build-Pipelines
- Roadmap zur Skalierung von SonarQube in Unternehmensumgebungen
Zusammenfassung und nächste Schritte
Voraussetzungen
- Verständnis des Software-Lebenszyklus
- Erfahrung mit Versionierung und grundlegenden CI/CD-Konzepten
- Vertrautheit mit Java- oder Angular-Entwicklungsumgebungen
Zielgruppe
- Entwickler (Java / Quarkus / Angular)
- DevOps- und CI/CD-Ingenieure
- Sicherheitsexperten und Anwendungssicherheits-Reviewer
Erfahrungsberichte (1)
Spannend und praktische Übungen.
Balavignesh Elumalai - Scottish Power
Kurs - SonarQube for DevOps
Maschinelle Übersetzung
