SonarQube voor een veilige SDLC en Azure DevOps Training Cursus

1. Concepten en reikwijdte van statische codeanalyse

• Definities: statische analyse, SAST, categorieën en ernst van regels
• Reikwijdte van statische analyse binnen een veilige SDLC en risicodekking
• Hoe SonarQube past binnen beveiligingsmaatregelen en ontwikkelprocessen

2. Overzicht van SonarQube: functies en architectuur

• Kerncomponenten, database en scanneronderdelen
• Quality Gates, Quality Profiles en best practices bij de inrichting hiervan
• Beveiligingsfuncties: kwetsbaarheden, SAST-regels en koppeling met CWE-classificaties

3. Navigatie en gebruik van het SonarQube-gebruikersinterface

• Rondleiding door de interface: projecten, problemen, regels en overzichtspagina’s
• Hoe probleempagina’s te lezen, traceerbaarheid vast te stellen en oplossingsrichtingen te bepalen
• Mogelijkheden voor rapportgeneratie en exporteren

4. Configureren van SonarScanner met buildtools

• SonarScanner instellen voor Maven, Gradle, Ant en MSBuild
• Best practices voor scannerinstellingen, uitsluitingen en meermodulaire projecten
• Het genereren van testgegevens en dekkingsrapporten die nodig zijn voor nauwkeurige analyse

5. Integratie met Azure DevOps

• SonarQube-serviceverbindingen configureren binnen Azure DevOps
• SonarQube-taken toevoegen aan Azure Pipelines en visuele feedback in pull requests genereren
• Azure Repos importeren in SonarQube en analyses automatiseren

6. Projectconfiguratie en integratie van externe analyzers

• Projectspecifieke Quality Profiles en regelselecties voor Java en Angular
• Omgaan met externe analyzers en de levenscyclus van plugins begrijpen
• Definiëren en overerven van analyseparameters

7. Rollen, verantwoordelijkheden en beoordeling van ontwikkelmethodieken

• Rolverdeling: tussen ontwikkelaars, reviewers, DevOps-teams en securitybeheerders
• Een matrix opstellen met rollen en verantwoordelijkheden binnen CI/CD-processen
• Beoordeling van een bestaande beveiligde ontwikkelmethodiek en het aanbrengen van verbeteringen

8. Gevorderd: aangepaste regels, afstellingen en versterking van beveiligingsaspecten

• Gebruikmaken van de SonarQube Web API voor het toevoegen en beheren van aangepaste regels
• Quality Gates aanpassen en automatische afdwinging van beleidsregels instellen
• Het versterken van serverbeveiliging en best practices voor toegangsbeheer bij SonarQube

9. Praktijkgerichte oefensessies (applicatie)

• Oefening A: Configureren van SonarScanner voor vijf Java-repositories (inclusief Quarkus waar van toepassing) en analyseresultaten beoordelen
• Oefening B: Analysetechnieken instellen voor één Angular-front-end en resultaten interpreteren
• Oefening C: Volledige pipeline-simulatie – SonarQube integreren met een Azure DevOps-pipeline en visualisering van resultaten in pull requests realiseren

10. Testen, probleemoplossing en interpreteren van rapporten

• Strategieën voor het genereren van testgegevens en meten van dekkingsgraad
• Veelvoorkomende problemen oplossen: fouten in scanners, pipelines en toegangsrechten
• Hoe SonarQube-rapporten voor zowel technische als niet-technische stakeholders te presenteren en te begrijpen

11. Best practices en aanbevelingen

• Keuze van regelsets en gestage invoering hiervan in ontwikkelprocessen
• Aanbevolen workflows voor ontwikkelaars, reviewers en buildpipelines
• Roadmap voor schaalvergroting van SonarQube binnen grote organisaties

Samenvatting en vervolgstappen