SonarQube for sikker SDLC og Azure DevOps Treningskurs

1. Konsepter og omfang for statisk kodeanalyse

• Definisjoner: statisk analyse, SAST, regelkategorier og alvorlighetsgrad
• Omfanget av statisk analyse i sikker SDLC og risikodekningsgrad
• Hvordan SonarQube passer inn i sikkerhetskontroller og utviklerrutiner

2. Oversikt over SonarQube: Funksjoner og arkitektur

• Kjerne tjenester, database og skannerkomponenter
• Kvalitetsgater, kvalitetsprofiler og beste praksis for kvalitetsgater
• Sikkerhetsrelaterte funksjoner: sårbarheter, SAST-regler og CWE-tilordning

3. Navigering og bruk av SonarQube-serverens brukergrensesnitt

• Tur i serverens GUI: prosjekter, problemer, regler, mål og styringsvisninger
• Tolkning av problemsider, sporbarhet og veiledning til retting
• Rapportgenerering og eksportmuligheter

4. Konfigurering av SonarScanner med byggeverktøy

• Oppsett av SonarScanner for Maven, Gradle, Ant og MSBuild
• Beste praksis for skanneregenskaper, unntak og multimodulprosjekter
• Generering av nødvendig testdata og dekkningsrapporter for nøyaktig analyse

5. Integrasjon med Azure DevOps

• Konfigurering av SonarQube-tjenestetilkoblinger i Azure DevOps
• Tillegg av SonarQube-oppgaver til Azure Pipelines og PR-dekorering
• Import av Azure Repos til SonarQube og automatisering av analyser

6. Prosjektinnstillinger og tredjepartsanalytikere

• Prosjektnivåets kvalitetsprofiler og regelvalg for Java og Angular
• Arbeid med tredjepartsanalytikere og plugin-livssyklus
• Definisjon av analyseparametere og parametrarv

7. Roller, ansvar og gjennomgang av sikkerhetsmetodikk

• Adskillelse av roller: utviklere, revisorer, DevOps, sikkerhetsansvarlige
• Oppbygging av en rolle- og ansvarsmatrise for CI/CD-prosesser
• Gjennomgang og anbefalinger for eksisterende sikkerhetsmetodikk

8. Avansert: Tillegg av regler, justeringer og forsterking av globale sikkerhetsfunksjoner

• Bruk av SonarQube Web API for å legge til og administrere tilpassede regler
• Justering av kvalitetsgater og automatisert gjennomføring av politikker
• Sikring av SonarQube-serverens sikkerhet og beste praksis for tilgangskontroll

9. Praktiske laboratoriegjennomføringer (Applisert)

• Lab A: Konfigurere SonarScanner for 5 Java-repositorier (Quarkus der hensiktsmessig) og analysere resultater
• Lab B: Konfigurere Sonar-analyse for 1 Angular front-end og tolke funn
• Lab C: Full pipeline-lab – integrere SonarQube med en Azure DevOps-pipeline og aktivere PR-dekorering

10. Testing, feilsøking og tolkning av rapporter

• Strategier for generering av testdata og måling av dekning
• Vanlige problemer og feilsøking av skanner-, pipeline- og tillatelsesfeil
• Hvordan lese og presentere SonarQube-rapporter til tekniske og ikke-tekniske interessenter

11. Beste praksis og anbefalinger

• Velg av regelsett og strategier for gradvis gjennomføring
• Anbefalinger for arbeidsflyt for utviklere, revisorer og byggepipelines
• Kartet for å skalere SonarQube i enterprise-miljøer

Oppsummering og neste trinn