SonarQube voor een veilige SDLC en Azure DevOps Training Cursus

1. Begrippen en scope van statische codeanalyse

• Definitie: statische analyse, SAST, regelcategorieën en ernstgraderingen
• Scope van statische analyse in een veilige SDLC en risicodekking
• Hoe SonarQube past in veiligheidscontroles en werkstromen van ontwikkelaars

2. Overzicht van SonarQube: functies en architectuur

• Kernevenementen, databank en scannercomponenten
• Quality Gates, Quality Profiles en beste praktijken rondom Quality Gates
• Veiligheidsgerelateerde functies: kwetsbaarheden, SAST-regels en CWE-koppeling

3. Navigatie en gebruik van de SonarQube-server UI

• Server-UI-toer: projecten, issues, regels, metingen en governance-weergaven
• Interpretatie van issues-pagina's, traceerbaarheid en hersteladviezen
• Rapportgeneratie en exportopties

4. Configuratie van SonarScanner met buildtools

• Instellen van SonarScanner voor Maven, Gradle, Ant en MSBuild
• Beste praktijken voor scanner-eigenschappen, uitsluitingen en multi-moduleprojecten
• Genereren van benodigde testdata en dekkingrapporten voor nauwkeurige analyse

5. Integratie met Azure DevOps

• Configuratie van SonarQube-serviceverbindingen in Azure DevOps
• Toevoegen van SonarQube-taken aan Azure Pipelines en PR-versiering (PR decoration)
• Importeren van Azure Repos naar SonarQube en automatiseren van analyses

6. Projectconfiguratie en analyse-tools van derden

• Projectniveau Quality Profiles en regelkeuze voor Java en Angular
• Werken met analyse-tools van derden en de levenscyclus van plugins
• Definiëren van analyseparameters en parameterovererving

7. Rollen, verantwoordelijkheden en review van de methode voor veilige ontwikkeling

• Scheiding van rollen: ontwikkelaars, reviewers, DevOps, eigenaars van veiligheid
• Opstellen van een matrix met rollen en verantwoordelijkheden voor CI/CD-processen
• Review- en aanbevelingsproces voor een bestaande methode voor veilige ontwikkeling

8. Geavanceerd: Regels toevoegen, afstemmen en het versterken van globale veiligheidsfuncties

• Gebruik van de SonarQube Web API om aangepaste regels toe te voegen en te beheren
• Afstemmen van Quality Gates en geautomatiseerde beleidstoepassing
• Versterken van de beveiliging van de SonarQube-server en beste praktijken rondom toegangscontrole

9. Hands-on labosessies (Toepassing)

• Lab A: SonarScanner configureren voor 5 Java-repositories (Quarkus waar van toepassing) en resultaten analyseren
• Lab B: Sonar-analyse configureren voor 1 Angular-front-end en bevindingen interpreteren
• Lab C: Volledige pipelinelabo – SonarQube integreren met een Azure DevOps-pipeline en PR-versiering inschakelen

10. Testen, probleemoplossing en rapportinterpretatie

• Strategieën voor testdatageneratie en dekkingmetingen
• Gangbare problemen en probleemoplossing voor scanner-, pipeline- en machtigingsfouten
• Hoe SonarQube-rapporten lezen en presenteren aan technische en niet-technische belanghebbenden

11. Beste praktijken en aanbevelingen

• Keuze van regelsets en strategieën voor incrementele handhaving
• Aanbevelingen voor werkstromen voor ontwikkelaars, reviewers en buildpipelines
• Roadmap voor het schalen van SonarQube in enterprise-omgevingen

Samenvatting en volgend stappen