SonarQube para un SDLC Seguro y Azure DevOps

1. Conceptos y alcance del análisis estático de código

• Definiciones: análisis estático, SAST, categorías de reglas y severidad
• Alcance del análisis estático en el SDLC seguro y cobertura de riesgos
• Cómo se integra SonarQube en los controles de seguridad y los flujos de trabajo del desarrollador

2. Resumen de SonarQube: Funciones y arquitectura

• Servicios principales, base de datos y componentes del escáner
• Portales de calidad (Quality Gates), perfiles de calidad y mejores prácticas
• Funciones relacionadas con la seguridad: vulnerabilidades, reglas SAST y mapeo CWE

3. Navegación y uso de la interfaz de usuario (UI) del servidor SonarQube

• Recorrido por la UI del servidor: proyectos, problemas, reglas, medidas y vistas de gobernanza
• Interpretación de las páginas de problemas, trazabilidad y orientación para la remediación
• Generación e opciones de exportación de informes

4. Configuración de SonarScanner con herramientas de compilación

• Configuración de SonarScanner para Maven, Gradle, Ant y MSBuild
• Mejores prácticas para propiedades del escáner, exclusiones y proyectos multi-módulo
• Generación de datos de prueba y generación de informes de cobertura para un análisis preciso

5. Integración con Azure DevOps

• Configuración de conexiones de servicio de SonarQube en Azure DevOps
• Añadida de tareas de SonarQube a Azure Pipelines y decoración de solicitudes de extracción (PR)
• Importación de Azure Repos a SonarQube y automatización de análisis

6. Configuración de proyectos y analizadores de terceros

• Perfiles de calidad a nivel de proyecto y selección de reglas para Java y Angular
• Trabajo con analizadores de terceros y ciclo de vida de los complementos (plugins)
• Definición de parámetros de análisis y herencia de parámetros

7. Roles, responsabilidades y revisión de la metodología de desarrollo seguro

• Separación de roles: desarrolladores, revisores, DevOps y responsables de seguridad
• Construcción de una matriz de roles y responsabilidades para procesos de CI/CD
• Proceso de revisión y recomendaciones para una metodología de desarrollo seguro existente

8. Avanzado: Adición de reglas, ajuste fino y mejora de las funciones globales de seguridad

• Uso de la API web de SonarQube para añadir y gestionar reglas personalizadas
• Ajuste de los Portales de Calidad y aplicación automatizada de políticas
• Endurecimiento de la seguridad del servidor SonarQube y mejores prácticas de control de acceso

9. Sesiones de laboratorio práctico (Aplicación)

• Laboratorio A: Configuración de SonarScanner para 5 repositorios de Java (Quarkus cuando corresponda) y análisis de resultados
• Laboratorio B: Configuración del análisis Sonar para 1 front-end en Angular e interpretación de hallazgos
• Laboratorio C: Laboratorio de tubería completa: integración de SonarQube con una tubería de Azure DevOps y habilitación de la decoración de PR

10. Pruebas, solución de problemas e interpretación de informes

• Estrategias para la generación de datos de prueba y la medición de la cobertura
• Problemas comunes y solución de errores del escáner, la tubería y de permisos
• Cómo leer y presentar los informes de SonarQube a interesados técnicos y no técnicos

11. Mejores prácticas y recomendaciones

• Selección de conjuntos de reglas y estrategias de aplicación incremental
• Recomendaciones de flujo de trabajo para desarrolladores, revisores y tuberías de compilación
• Hoja de ruta para escalar SonarQube en entornos empresariales

Resumen y próximos pasos