SANS SEC540: Cloud Security and DevOps Automation

دوره آموزشی SANS SEC540 با عنوان Cloud Security and DevSecOps Automation یکی از دوره‌های تخصصی و پیشرفته در زمینه امنیت ابری و اتوماسیون DevSecOps است. این دوره به شما کمک می‌کند تا مهارت‌های لازم برای پیاده‌سازی امنیت در محیط‌های ابری و فرآیندهای توسعه و عملیات نرم‌افزاری را به دست آورید. در این دوره، علاوه بر مباحث پایه‌ای امنیت ابری، تکنیک‌ها و ابزارهای اتوماسیون امنیت در DevSecOps به صورت عملی و کاربردی آموزش داده می‌شود. شرکت‌کنندگان با معماری‌های ابری مختلف، مدل‌های تهدید، سیاست‌گذاری امنیتی، تست‌های امنیتی خودکار و مدیریت آسیب‌پذیری آشنا می‌شوند. این دوره مناسب مهندسان امنیت، توسعه‌دهندگان، مدیران عملیات و هر فردی است که می‌خواهد امنیت را به صورت یکپارچه و خودکار در چرخه زندگی توسعه نرم‌افزار پیاده کند.

سرفصل‌های دوره SANS SEC540: Cloud Security and DevOps Automation

• معرفی امنیت ابری و مفاهیم پایه
• معماری‌های ابر عمومی، خصوصی و هیبرید
• تهدیدات و آسیب‌پذیری‌های رایج در محیط ابری
• اصول و بهترین شیوه‌های DevSecOps
• اتوماسیون امنیت در CI/CD Pipeline
• استفاده از ابزارهای امنیتی متن‌باز و تجاری در DevSecOps
• مدیریت پیکربندی و Policy-as-Code
• تحلیل آسیب‌پذیری و تست نفوذ خودکار
• کنترل دسترسی و مدیریت هویت در محیط ابری
• گزارش‌دهی و مانیتورینگ امنیت در DevSecOps
• استراتژی‌های واکنش به حادثه و بازیابی در فضای ابری

دوره SANS SEC540 با تمرکز ویژه بر امنیت ابری و پیاده‌سازی اتوماسیون در DevSecOps، به شما مهارت‌های لازم برای طراحی و اجرای سیاست‌های امنیتی خودکار را می‌دهد. این دوره به صورت عملیاتی، نحوه ادغام امنیت در CI/CD Pipeline را آموزش می‌دهد و ابزارهای مختلف اتوماسیون امنیت را معرفی می‌کند. با یادگیری بهترین شیوه‌های مدیریت آسیب‌پذیری و تست نفوذ خودکار، می‌توانید سطح امنیت نرم‌افزارها و سرویس‌های ابری را به طور قابل توجهی افزایش دهید. همچنین موضوعات مهمی مثل مدیریت هویت، Policy-as-Code و واکنش سریع به تهدیدات در محیط‌های ابری پوشش داده شده است. اگر دنبال دوره‌ای جامع و پیشرفته در حوزه DevSecOps و امنیت ابری هستید، SANS SEC540 بهترین گزینه برای توسعه مهارت‌ها و آمادگی برای چالش‌های امنیتی امروز و فرداست.

SEC540 provides development, operations, and security professionals with a methodology to build and deliver secure infrastructure and software using DevOps and cloud services. Students will explore how the principles, practices, and tools of DevOps can improve the reliability, integrity, and security of on-premise and cloud-hosted applications.

Starting with on-premise deployments, the first two days of the course examine the Secure DevOps methodology and its implementation using lessons from successful DevOps security programs. Students will gain hands-on experience using popular open-source tools such as Puppet, Jenkins, GitLab, Vault, Grafana, and Docker to automate Configuration Management (“infrastructure as Code”), Continuous Integration (CI), Continuous Delivery (CD), containerization, micro-segmentation, automated compliance (“Compliance as Code”), and Continuous Monitoring. The lab environment starts with a CI/CD pipeline that automatically builds, tests, and deploys infrastructure and applications. Leveraging the Secure DevOps toolchain, students perform a series of labs injecting security into the CI/CD pipeline using a variety of security tools, patterns, and techniques.

After laying the DevSecOps foundation, the final three days move DevOps workloads to the cloud, build secure cloud infrastructure, and deliver secure software. SEC540 provides in-depth analysis of the Amazon Web Services (AWS) toolchain, while lightly covering comparable services in Microsoft Azure. Using the CI/CD toolchain, students build a cloud infrastructure that can host containerized applications and microservices. Hands-on exercises analyze and fix cloud infrastructure and application vulnerabilities using security services and tools such as API Gateway, Identity and Access Management (IAM), CloudFront Signing, Security Token Service (STS), Key Management Service (KMS), managed WAF services, serverless functions, CloudFormation, AWS Security Benchmark, and much more.

Course Syllabus

SEC540.1: Introduction to Secure DevOps
SEC540.2: Moving to Production
SEC540.3: Moving to the Cloud
SEC540.4: Cloud Application Security
SEC540.5: Cloud Security Automation

SEC540 Will Prepare You To:

Understand the core principles and patterns behind DevOps:

• Recognize how work is done in DevOps and identify keys to success

Map and implement a Continuous Delivery/Continuous Deployment pipeline:

• Utilize Continuous Integration, Continuous Delivery, and Continuous Deployment workflows, patterns, and tools
• Identify the security risks and issues associated with DevOps and Continuous Delivery

Understand the DevSecOps methodology and toolchain:

• Use DevOps practices to secure DevOps tools and workflows
• Conduct effective risk assessments and threat modeling in a rapidly changing environment
• Design and write automated security tests and checks in CI/CD
• Understand the strengths and weaknesses of different automated testing approaches in Continuous Delivery
• Implement self-serve security services for developers
• Inventory and patch your software dependencies
• Threat model and secure your build and deployment environment

Integrate security into production operations:

• Automate configuration management using infrastructure as code
• Secure container technologies (such as Docker)
• Build continuous monitoring feedback loops from production to engineering
• Securely manage secrets for continuous integration servers and applications
• Automate compliance and security policy scanning

Move your DevOps workloads to the cloud:

• Secure your Amazon Web Services account
• Understand the cloud architecture components
• Use Infrastructure as Code (specifically CloudFormation) to automate cloud infrastructure
• Incorporate security scanning into CodePipeline using CodeBuild
• Containerize applications with the EC2 Container Registry and EC2 Container Service

Consume cloud services to secure cloud applications:

• Protect sensitive secrets with KMS and the SSM Parameter Store
• Protect static content with CloudFront Signing
• Secure REST APIs with API Gateway
• Leverage serverless functions to authorize requests to the API Gateway

Automate cloud security and operations tasks:

• Patch systems with blue/green deployments
• Deploy the AWS WAF and write custom WAF rules
• Detect and respond to security events using CloudWatch and serverless functions