Programa del Curso
1. Fundamentos de DevSecOps: Seguridad por Diseño
🔍 Aprende: Principios básicos de DevSecOps y SDLC segura
🛠️ Demostración: Comparación lado a lado entre flujos de trabajo heredados vs modernos seguros
🔧 Laboratorio: Construye tu primera plantilla de flujo de trabajo habilitada para DevSecOps
2. Bootcamp de Pruebas de Seguridad ZAP OWASP
💣 Simulación de Ruptura:
- Implementar una aplicación vulnerable con SQLi y XSS
- Usar OWASP ZAP para detectar y mitigar amenazas
⚙️ Tácticas Defensivas:
- Búsqueda automática con ZAP
- Integración CI/CD mediante la API de ZAP
🧪 Laboratorio: Personaliza las búsquedas base y reglas de ataque de ZAP
🎯 Desafío: “Encuentra el panel administrativo oculto en 10 minutos”
3. Infierno de Dependencias: Defensa de la Cadena de Suministro
💣 Simulación de Ruptura:
- Inyectar un paquete npm malicioso con CVEs
🛡️ Tácticas Defensivas:
- Monitorear vulnerabilidades con OWASP Dependency-Track
- Aplicar controles de política que fallen en la compilación ante CVEs críticas
🧪 Laboratorio: Crea políticas y flujos de trabajo de alertas de vulnerabilidad
⚠️ Demostración Impactante: “Cómo una mala dependencia puede controlar tu infraestructura”
4. Sala de Guerra de Vulnerabilidades Management
💣 Simulación de Ruptura:
- Exploitar vulnerabilidades no parcheadas en contenedores
🛡️ Tácticas Defensivas:
- Centralizar informes con OWASP DefectDojo
- Búsqueda de contenedores con Trivy
🧪 Laboratorio: Construye paneles reales para informes al CISO y ejecutivos
🏁 Competencia: “Prioriza 50 hallazgos más rápido que tus rivales”
5. Ejercicio de Incendio para Secretos y Configuración
💣 Simulación de Ruptura:
- Exfiltrar secretos del historial de Git usando truffleHog
🛡️ Tácticas Defensivas:
- Ganchos pre-compromiso para bloquear patrones como
password=.*
- Usa el araña de configuración de ZAP para mostrar ajustes peligrosos
🧪 Laboratorio: Implementa escaneo de secretos de GitHub Actions
🚨 Realidad Check: “Tu contraseña de la base de datos está en Slack ahora mismo”
6. Resumen: Plan de Batalla DevSecOps
🧭 Hoja de Ruta de Integración OWASP:
- Planea la adopción de DefectDojo, Dependency-Track y ZAP
📋 Plan de Acción Personal:
- Boceto tu lista de verificación de seguridad de 30 días
- Define tus KPIs de DevSecOps e informes de tableros
Requerimientos
Experiencia en software fundamental y SDLC
Audience
DevOps, Ingenieros de Seguridad y Nube que odian los discursos teóricos sobre seguridad
Testimonios (1)
Hubo muchos ejercicios prácticos supervisados y asistidos por el formador
Aleksandra - Fundacja PTA
Curso - Mastering Make: Advanced Workflow Automation and Optimization
Traducción Automática