Temario del curso
1. Fundamentos de DevSecOps: Seguridad por diseño
Aprendizaje: Principios fundamentales de DevSecOps y SDLC seguro
Demostración: Comparación lado a lado de pipelines seguros legados versus modernos
Laboratorio: Cree su primera plantilla de pipeline habilitada para DevSecOps
2. Taller intensivo de pruebas de seguridad con OWASP ZAP
Simulación de incursión:
- Despliegue de una aplicación vulnerable con SQLi y XSS
- Uso de OWASP ZAP para detectar y mitigar amenazas
Tácticas de defensa:
- Escaneo automatizado con ZAP
- Integración en CI/CD mediante la API de ZAP
Laboratorio: Personalice escaneos de línea base de ZAP + reglas de ataque
Desafío: “Encuentre el panel de administración oculto en 10 minutos”
3. Infamia de dependencias: Defensa de la cadena de suministro
Simulación de incursión:
- Inyección de un paquete npm malicioso con CVEs
Tácticas de defensa:
- Monitoreo de vulnerabilidades con OWASP Dependency-Track
- Aplicación de controles de política que invaliden las compilaciones ante CVEs críticos
Laboratorio: Cree políticas de vulnerabilidades y flujos de trabajo de alertas
Demostración impactante: “Cómo una mala dependencia puede comprometer su infraestructura”
4. Sala de guerra de gestión de vulnerabilidades
Simulación de incursión:
- Explotación de vulnerabilidades no parcheadas en contenedores
Tácticas de defensa:
- Centralización de informes con OWASP DefectDojo
- Escaneo de contenedores con Trivy
Laboratorio: Construya paneles de control reales para informes de CISO/dirección ejecutiva
Competencia: “Triaje de 50 hallazgos más rápido que sus rivales”
5. Ejercicio de emergencia: Secretos y configuración
Simulación de incursión:
- Exfiltración de secretos del historial de Git usando truffleHog
Tácticas de defensa:
- Pre-commit hooks para bloquear patrones como
password=.* - Uso del explorador de configuración de ZAP para identificar ajustes peligrosos
Laboratorio: Implemente el escaneo de secretos en GitHub Actions
Realidad: “Su contraseña de la base de datos está en Slack ahora mismo”
6. Cierre: Plan de batalla DevSecOps
Hoja de ruta de integración OWASP:
- Planifique la adopción de DefectDojo, Dependency-Track y ZAP
Plan de acción personal:
- Elabore su lista de verificación de seguridad de 30 días
- Defina sus KPIs de DevSecOps y paneles de control de informes
Requerimientos
Experiencia fundamental en software y SDLC
Público objetivo
Ingenieros DevOps, de Seguridad y en la Nube que desean ir más allá de las charlas teóricas sobre seguridad
Reseñas (1)
Que fue muy claro en cada especificación