DevSecOps kursu
Təhlükəsizliyin buraxılış prosesinə hörülməsi: kod yoxlamaları, konteyner sərtləşdirilməsi, sirrlərin idarəsi və infrastrukturun koda çevrilməsi.
Log Academy-nin DevSecOps kursu Bakıda oflayn və onlayn canlı formatda keçən 6 aylıq, orta səviyyəli proqramdır. Developer, DevOps və sistem mühəndisləri burada təhlükəsizliyi buraxılış prosesinin içinə hörməyi öyrənir: pipeline-da SAST, SCA və secret scanning, konteyner imicinin sərtləşdirilməsi, Kubernetes RBAC və Terraform auditi. Dərslərin 70%-i praktikadır.
DevSecOps nədir və adi DevOps-dan nə ilə fərqlənir?
DevOps kodun tez, avtomatik və təkrarlana bilən şəkildə buraxılmasına fokuslanır. DevSecOps həmin axına təhlükəsizlik yoxlamalarını əlavə edir: hər commit-də kod və asılılıqlar skan olunur, sirrlər repozitoriyaya düşmür, konteyner imici imzalanır, infrastruktur kodu yoxlanılır. Məqsəd təhlükəsizliyi buraxılışdan əvvəl ayrıca keçirilən yoxlama yox, pipeline-ın adi addımı etməkdir. Belə olanda səhv konfiqurasiya istehsala çatmadan tutulur.
Bu istiqamət kibertəhlükəsizlik ilə proqram mühəndisliyinin kəsişməsidir. Təhlükəsizlik əməliyyatları mərkəzi (SOC) analitiki hücumu baş verdikdən sonra aşkarlayır, DevSecOps mühəndisi isə zəif nöqtənin ümumiyyətlə yaranmamasına çalışır. Ona görə CI/CD təhlükəsizliyi həm developer, həm də infrastruktur komandası ilə gündəlik iş tələb edir. Kurs bu iki dünyanı birləşdirən praktik vərdişləri verir və hər alətin nə üçün lazım olduğunu izah edir.
Laboratoriyada konkret olaraq nə edəcəksiniz?
Hər mövzu laboratoriya tapşırığı ilə bağlanır. Öz virtual maşınınızda pipeline qurursunuz, ona SAST və SCA alətlərini qoşursunuz və nəticələri triage edirsiniz: hansı tapıntı real riskdir, hansı yanlış müsbətdir (false positive). Sonra Docker imicini minimallaşdırıb imzalayır, Kubernetes klasterində RBAC, şəbəkə siyasətləri və admission control qaydaları yazırsınız. Terraform konfiqurasiyasında ən az imtiyaz prinsipini və drift-i yoxlayırsınız.
Laboratoriya vSphere üzərində qurulub, hər tələbəyə ayrıca virtual maşın verilir və mühit kurs boyu 24/7 açıq qalır. Dərsdən sonra tapşırığı təkrarlamaq, konfiqurasiyanı qəsdən sındırıb yenidən qurmaq olar. Bu DevSecOps təlimi slayd üzərində yox, işləyən sistem üzərində keçir. Səhvləri təhlükəsiz, təcrid olunmuş mühitdə etmək real layihədə eyni səhvi təkrarlamamağın ən praktik yoludur. Onlayn qruplar da eyni laboratoriyada işləyir.
Kurs bitəndə əlinizdə nə olacaq?
Proqramı və yekun layihəni tamamlayanlara akademiyanın sertifikatı verilir. Beynəlxalq sertifikat imtahanlarına hazırlıq üçün istiqamət göstəririk, lakin imtahan nəticəsinə zəmanət vermirik, çünki nəticə sizin hazırlığınızdan asılıdır. Daha vacib olan isə sıfırdan qurub audit etdiyiniz təhlükəsiz pipeline-dır. O, portfelinizin özəyi olur və texniki müsahibədə addım-addım izah edə biləcəyiniz, öz əlinizlə görülmüş real işdir.
Karyera modulu CV və LinkedIn baxışını, texniki müsahibə məşqini və vakansiya yönləndirməsini əhatə edir. DevSecOps, DevOps və bulud təhlükəsizliyi müsahibələrində adətən pipeline dizaynı, konteyner və Kubernetes təhlükəsizliyi soruşulur, bu mövzular isə kursun əsasını təşkil edir. Qruplar 8–12 nəfərlikdir, ona görə müəllimin hər tələbənin pipeline-ına ayrıca baxmağa və rəy verməyə vaxtı qalır.
Bu kurs kimlər üçündür?
DevSecOps kursu artıq kod yazan, pipeline quran və ya serverləri idarə edən, amma təhlükəsizliyə hələ sonradan baxılan mövzu kimi yanaşan mühəndislər üçündür. Məsələn, backend developer asılılıqlarındakı zəifliklərin necə tapıldığını bilmək istəyir, DevOps mühəndisi isə buraxılışı yavaşlatmadan yoxlamaları avtomatlaşdırmaq istəyir. Səviyyə orta olduğundan terminal və Git ilə rahat işləmək gözlənilir.
Proqram komandasında təhlükəsizlik məsuliyyətini öz üzərinə götürən sistem mühəndislərinə də uyğundur: konteyner imicini kim təsdiqləyir, bulud konfiqurasiyasına kim baxır, tapıntını kim prioritetləşdirir. IT-yə yenicə gəlirsinizsə, əvvəlcə Linux Administrator proqramı ilə təməl qoymaq daha məntiqlidir. Hansı yolun sizə uyğun olduğunu təxminən 20 dəqiqəlik pulsuz konsultasiyada birlikdə müəyyən edirik.
Hansı alətləri öyrənəcəksiniz?
Git M01 modulunda hər şeyin başlanğıcıdır: branch, merge və commit tarixçəsi pipeline-ı işə salan hadisələrdir, sirrlər də çox vaxt məhz burada sızır. SAST/SCA M02-də iki fərqli suala cavab verir: SAST öz kodunuzda təhlükəli nümunələri axtarır, SCA isə istifadə etdiyiniz kitabxanalarda məlum zəiflikləri tapır. Secret scanning də bu modulda pipeline-a qoşulur.
Docker M03-də imici minimallaşdırmaq, imzalamaq və runtime siyasətləri tətbiq etmək üçün işlədilir. Kubernetes M04-də RBAC, şəbəkə siyasətləri, admission control və gizli məlumatların idarəsi ilə klasterin özünü qorumağı öyrədir. Terraform M05-də infrastrukturu kod kimi təsvir edir: konfiqurasiyanı yoxlayır, drift-i tutur və ən az imtiyaz prinsipini tətbiq edirsiniz.
Laboratoriya nümunəsi
Nümunə tapşırıq: şəxsi virtual maşınınızda qəsdən zəif hazırlanmış kiçik veb tətbiqin repozitoriyası və sadə CI pipeline-ı var. Kodda unudulmuş API açarı, köhnə versiyalı kitabxana və təhlükəli giriş emalı gizlədilib. Pipeline-a əvvəlcə secret scanning, sonra SCA, ən sonda SAST mərhələsi əlavə edirsiniz ki, hər commit avtomatik yoxlansın.
Pipeline işə düşəndən sonra əsl iş başlayır: tapıntıları triage edirsiniz. Hansı real riskdir, hansı test kodundakı zərərsiz nümunədir, hansını dərhal düzəltmək, hansını qeydə almaq lazımdır? Sızan açarı ləğv edib tarixçədən təmizləyir, kitabxananı yeniləyir, kritik tapıntıda pipeline-ın dayanması üçün qayda qoyursunuz. Nəticəni qısa hesabatda sənədləşdirir, hər qərarı əsaslandırırsınız.
Nə əldə edəcəksən
- →CI/CD pipeline-a təhlükəsizlik yoxlamaları hörmək
- →Konteyner imicini sərtləşdirmək və imzalamaq
- →Kubernetes RBAC və şəbəkə siyasətlərini qurmaq
- →Terraform/IaC konfiqurasiyasını audit etmək
Alətlər
Modullar
Tez-tez verilən suallar
DevSecOps kursu kimlər üçün uyğundur?
Proqram developer, DevOps və sistem mühəndisləri üçün nəzərdə tutulub, yəni artıq kod, server və ya buraxılış prosesi ilə işləyənlər üçün. Kiber təhlükəsizlik sahəsinə sıfırdan gəlirsinizsə, əvvəlcə Linux Administrator və ya Blue Team proqramı ilə başlamaq daha doğru ola bilər. Pulsuz konsultasiyada hansı pillədən başlamağı birlikdə seçirik.
DevOps bilirəm, DevSecOps mənə nə əlavə edəcək?
DevOps biliyi yaxşı təməldir, amma DevSecOps ona təhlükəsizlik baxışı əlavə edir. Siz SAST, SCA və secret scanning nəticələrini oxumağı, konteyner imicini sərtləşdirib imzalamağı, Kubernetes-də RBAC və şəbəkə siyasətləri qurmağı, Terraform konfiqurasiyasını audit etməyi öyrənirsiniz. Nəticədə pipeline təkcə sürətli yox, həm də yoxlanılmış olur.
Kurs üçün nə qədər proqramlaşdırma bilmək lazımdır?
Kurs orta səviyyəlidir. Terminalla rahat işləmək, sadə skript oxumaq və Git-in əsaslarını bilmək kifayətdir. Mürəkkəb proqram yazmaq tələb olunmur, amma kodu oxuyub tapıntının harada olduğunu anlamaq lazım gəlir. Birinci modul Linux, Git və CI əsaslarını təkrarlayır ki, qrup eyni səviyyədən başlasın.
Dərslər oflayndır, yoxsa onlayn?
Hər ikisi mümkündür: Bakıda, Ülvi Bünyadzadə 2 ünvanında oflayn qruplar və onlayn canlı dərslər. Onlayn qruplarda da laboratoriya mühiti və müəllim dəstəyi eynidir, virtual maşınınız 24/7 açıqdır. Şirkətlər üçün komandaya uyğunlaşdırılmış korporativ DevSecOps təlimi də təşkil edirik.
Yekun layihədə nə edirsiniz?
Yekun layihədə sıfırdan təhlükəsiz pipeline qurursunuz: kod və asılılıq yoxlamaları, sirrlərin idarəsi, imzalanmış konteyner imici, Kubernetes siyasətləri və Terraform yoxlamaları. Sonra bu pipeline-ı audit edib tapıntıları sənədləşdirirsiniz. Layihəni tamamlamaq akademiya sertifikatı üçün şərtdir və portfelinizdə göstərə biləcəyiniz əsas işdir.
Kursa necə başlamaq olar?
Saytdakı forma, telefon və ya WhatsApp vasitəsilə (+994 50 700 60 70) müraciət edin. Təxminən 20 dəqiqəlik pulsuz konsultasiyada hazırlıq səviyyənizi və hədəfinizi müəyyən edirik. İlk dərs pulsuzdur, ona görə formatı və laboratoriyanı qərar verməzdən əvvəl özünüz yoxlaya bilərsiniz. Akademiya hər gün 11:00–22:00 açıqdır.