SonarQube Güvenli SDLC ve Azure DevOps için Eğitimi

1. Statik Kod Analizi Kavramları ve Kapsamı

• Tanımlar: statik analiz, SAST, kural kategorileri ve ciddiyet dereceleri
• Statik analizin güvenli SDLC'deki (Software Development Life Cycle) ve risk kaplamadaki kapsamı
• SonarQube'nin güvenlik kontrollerine ve geliştirici iş akışlarına nasıl uyum sağladığını anlamak

2. SonarQube Genel Bakışı: Özellikler ve Mimarisi

• Kernellik hizmetler, veritabanı ve tarama bileşenleri
• Kalite Kapıları (Quality Gates), Kalite Profilleri (Quality Profiles) ve en iyi uygulamalar
• Güvenlikle ilgili özellikler: güvenlik açıkları, SAST kuralları ve CWE eşlemesi

3. SonarQube Sunucu Kullanıcı Arayüzüne Göz Atma ve Kullanımı

• Sunucu kullanıcı arayüzü turu: projeler, sorunlar, kurallar, ölçümler ve yönetim görünümleri
• Sorun sayfalarını yorumlama, izlenebilirlik ve düzeltme rehberi
• Rapor oluşturma ve dışa aktarma seçenekleri

4. Derleme Araçlarıyla SonarScanner Yapılandırması

• Maven, Gradle, Ant ve MSBuild için SonarScanner'ı ayarlama
• Tarama özellikleri, hariç tutulanlar ve çok modüllü projeler için en iyi uygulamalar
• Düzenli analiz için gerekli test verileri ve kapsam raporları oluşturma

5. Azure DevOps ile Entegrasyon

• Azure DevOps'te SonarQube hizmet bağlantısı ayarlama
• Azure Pipelines'a ve PR süslemesine SonarQube görevleri ekleyme
• Azure Repos'u SonarQube'ye aktarma ve analizlerin otomatikleştirilmesi

6. Proje Yapılandırması ve Üçüncü Taraflı Analizciler

• Java ve Angular için proje düzeyinde Kalite Profilleri ve kural seçimleri
• Üçüncü taraf analizcilerle çalışma ve eklenti yaşam döngüsü
• Analiz parametrelerini tanımlama ve parametre kalıtımı

7. Roller, Sorumluluklar ve Güvenli Geliştirme Metodolojisi İncelemesi

• Rollerin ayrılması: geliştiriciler, gözden geçirenler, DevOps, güvenlik sahipleri
• CI/CD süreçleri için roller ve sorumluluklar matrisi oluşturma
• Mevcut güvenli geliştirme metodolojisini incelemek ve önerilerde bulunmak

8. İleri Seviye: Kurallar Ekleme, Ayarlama ve Küresel Güvenlik Özelliklerini Geliştirme

• Mevcut kuralları eklemek ve yönetmek için SonarQube Web API'sini kullanma
• Kalite Kapılarını ayarlama ve otomatik ilke uygulamayı düzenleme
• SonarQube sunucusu güvenliğini güçlendirme ve erişim kontrol en iyi uygulamaları

9. Uygulamalı Laboratuvar Oturumları (Uygulanan)

• Laboratuvar A: 5 Java depoları için SonarScanner'ı yapılandırma (uygun olduğunda Quarkus) ve sonuçları analiz etme
• Laboratuvar B: 1 Angular ön uç için Sonar analizi yapılandırma ve bulguları yorumlama
• Laboratuvar C: Tam pipeline laboratuvarı—SonarQube'yi Azure DevOps pipeline ile entegre etme ve PR süslemesini etkinleştirme

10. Test, Sorun Giderme ve Rapor Yorumlama

• Test verisi oluşturma ve kapsam ölçümü stratejileri
• Tarama, pipeline ve izin hataları için yaygın sorunlar ve sorun giderme
• SonarQube raporlarını teknik ve teknik olmayan paydaşlara nasıl okuyup sunacaklarını öğrenmek

11. En İyi Uygulamalar ve Öneriler

• Kural kümesi seçimleri ve azaltıcı uygulama stratejileri
• Geliştiriciler, gözden geçirenler ve derleme pipeline'ları için iş akışı önerileri
• SonarQube'u kurumsal ortamlarda ölçeklendirmek için rota haritası

Özet ve Sonraki Adımlar