GitHub sécurité avancée (GH-500T00)

Référence : GH-500T00

Durée : 1 jour

© AFI par Edgenda inc.

GitHub Advanced Security (GHAS) joue un rôle crucial dans le renforcement de la posture de sécurité des projets de développement logiciel sur GitHub. Il fournit un ensemble complet d’outils et de fonctionnalités conçus pour identifier et traiter les vulnérabilités de sécurité tout au long du cycle de vie du développement. En intégrant la sécurité directement dans le processus de développement grâce à GHAS, votre équipe peut créer des logiciels plus sûrs et fiables. Ce cours explore comment utiliser GHAS afin de maximiser l’impact sur la sécurité et comprendre le rôle de GHAS dans l’écosystème de la sécurité.

Public concerné

Ce cours s’adresse aux personnes souhaitant comprendre et mettre en œuvre des pratiques de sécurité avancées à l’aide de GitHub Advanced Security (GHAS). Elles apprendront à améliorer significativement les processus de développement logiciel et à créer un écosystème de développement plus résilient et sécurisé en utilisant des solutions axées sur les développeurs, afin de garantir la sécurité du code, de la chaîne d’approvisionnement et des secrets avant la mise en production. Elles découvriront comment GHAS offre aux équipes de sécurité une visibilité sur la posture de sécurité organisationnelle et de la chaîne d’approvisionnement, ainsi qu’un accès inégalé à des renseignements issus de millions de développeurs et de chercheurs en sécurité dans le monde entier.

Préalables

• Une connaissance de base de Git et GitHub (commandes essentielles, gestion des branches, fusion, etc.)
• Une expérience des flux de travail de développement logiciel (dépôts, pull requests, revues de code)
• Une compréhension des concepts fondamentaux de sécurité
• Un accès à un compte GitHub (idéalement avec des droits d’administrateur ou de sécurité sur un dépôt de test)

Objectifs

• Comprendre les fonctionnalités et avantages de GitHub Advanced Security
• Activer et configurer l’analyse de code pour identifier les vulnérabilités
• Utiliser l’analyse de secrets pour détecter et prévenir les fuites de secrets
• Mettre en œuvre l’analyse de dépendances (Dependabot) pour les dépendances vulnérables
• Interpréter et agir sur les alertes de sécurité générées par GHAS
• Intégrer les flux de sécurité dans les pipelines CI/CD
• Exploiter les options de configuration avancées pour les règles et politiques de sécurité
• Soutenir la conformité aux exigences organisationnelles et réglementaires en matière de sécurité

Contenu

Introduction à GitHub Advanced Security

• Définir GHAS et l’importance de ses fonctionnalités principales
• Comment utiliser GHAS pour un impact maximal
• Comprendre le rôle de GHAS dans l’écosystème de la sécurité
• Évaluation du module

Configurer les mises à jour de sécurité Dependabot sur votre dépôt GitHub

• Gérer vos dépendances sur GitHub
• Alertes Dependabot
• Mises à jour de sécurité Dependabot
• Gérer les notifications et rapports Dependabot
• Revue des dépendances
• Exercice : Configurer les mises à jour de sécurité Dependabot
• Évaluation du module

Configurer et utiliser l’analyse de secrets dans votre dépôt GitHub

• Qu’est-ce que l’analyse de secrets ?
• Configurer l’analyse de secrets
• Utiliser l’analyse de secrets
• Exercice
• Évaluation du module

Configurer l’analyse de code sur GitHub

• Qu’est-ce que l’analyse de code ?
• Activer l’analyse de code avec des outils tiers
• Configurer l’analyse de code
• Exercice de configuration de l’analyse de code
• Évaluation du module

Identifier les vulnérabilités de sécurité dans votre base de code à l’aide de CodeQL

• Préparer une base de données pour CodeQL
• Exécuter CodeQL dans une base de données
• Comprendre les résultats de CodeQL
• Résoudre les problèmes liés aux résultats de CodeQL
• Évaluation du module

Analyse de code avec GitHub CodeQL

• Qu’est-ce que CodeQL ?
• Comment CodeQL analyse-t-il le code ?
• Qu’est-ce que QL ?
• Analyse de code et CodeQL
• Personnaliser votre workflow d’analyse de code avec CodeQL – Partie 1
• Exercice : Référencer une requête CodeQL
• Personnaliser votre workflow d’analyse de code avec CodeQL – Partie 2
• Utiliser l’interface CLI CodeQL
• Personnaliser les langages et compilations pour l’analyse de code
• Exercice : Configurer une matrice de langages CodeQL
• Évaluation du module

Administration GitHub pour GitHub Advanced Security

• Qu’est-ce que GitHub Advanced Security ?
• Activer GitHub Advanced Security
• Gérer l’accès à GitHub Advanced Security
• Gérer les fonctionnalités et alertes de GitHub Advanced Security
• Évaluation du module

Gérer les données sensibles et les politiques de sécurité dans GitHub

• Définir les politiques de sécurité
• Créer et gérer des ensembles de règles de dépôt
• Rapports et journalisation
• Exercice
• Évaluation du module