SonarQube for Secure SDLC and Azure DevOps Treningskurs

1. Konsepter og omfang av statisk kodeanalyse

• Definisjoner: statisk analyse, SAST, regelkategorier og alvorlighetsgrad
• Omfang av statisk analyse i sikret SDLC og risikooversikt
• Hvordan SonarQube passer inn i sikkerhetshensyn og utviklerworkflows

2. Oversikt over SonarQube: funksjoner og arkitektur

• Kjerne-tjenester, database og skanner-komponenter
• Kvalitetsgater, kvalitetsprofiler og beste praksis for kvalitetsgater
• Sikkerhetsrelaterte funksjoner: sårbarheter, SAST-regler og CWE-mapping

3. Navigasjon og bruk av SonarQube-server-UI

• Tur gjennom server-UI: prosjekter, problemer, regler, mål og styringsvisninger
• Fortolkning av problemsider, sporbarhet og rettedningsveiledning
• Rapportgenerering og eksportalternativer

4. Konfigurasjon av SonarScanner med byggverktøy

• Konfigurere SonarScanner for Maven, Gradle, Ant og MSBuild
• Beste praksis for skanner-egenskaper, unntak og flermodulprosjekter
• Generere nødvendige testdata og dekkingsrapporter for nøyaktig analyse

5. Integrasjon med Azure DevOps

• Konfigurere SonarQube-tjenesteforbindelser i Azure DevOps
• Legge til SonarQube-oppgaver i Azure Pipelines og PR-dekorasjon
• Importere Azure Repos til SonarQube og automatisere analyser

6. Prosjektkonfigurasjon og tredjepartsanalyser

• Prosjektomfattende kvalitetsprofiler og regelvalg for Java og Angular
• Arbeide med tredjepartsanalyser og plugin-livscyklus
• Definer analyseparametere og arving av parametre

7. Roller, ansvar og gjennomgang av sikker utviklingsmetodologi

• Adskillelse av roller: utviklere, gjennomsynsledere, DevOps, sikkerhetsansvarlige
• Konstruere en roller- og ansvars-matrise for CI/CD-prosesser
• Gjennomgang og anbefalingsprosess for eksisterende sikker utviklingsmetodologi

8. Avansert: Legge til regler, justering og forbedring av globale sikkerhetsfunksjoner

• Bruk SonarQubes Web API for å legge til og administrere egendefinerte regler
• Justere kvalitetsgater og automatisk policytvedtak
• Forstå SonarQube-server-sikkerhet og beste praksis for tilgangskontroll

9. Hands-on labbsesjoner (praktisk)

• Lab A: Konfigurere SonarScanner for 5 Java-repositories (Quarkus når relevant) og analysere resultater
• Lab B: Konfigurere Sonar-analyse for 1 Angular frontend og tolke funnene
• Lab C: Full pipeline-lab — integrer SonarQube med en Azure DevOps-pipeline og aktiver PR-dekorasjon

10. Testing, feilsøking og rapporttolkning

• Strategier for generering av testdata og dekkingsmåling
• Felles problemer og feilsøking av skanner-, pipeline- og tilgangsfeil
• Hvordan lese og presentere SonarQube-rapporter for tekniske og ikke-tekniske stakeholder

11. Best praksis og anbefalinger

• Regelsett-valg og strategier for inkrementell tvedtak
• Workflow-anbefalinger for utviklere, gjennomsynsledere og byggpipelines
• Roadmap for skaling av SonarQube i enterprisesmiljøer

Sammenfattning og neste trinn