آموزش ساخت زنجیره تأمین نرم‌افزاری امن با ابزارهای متن‌باز - آخرین آپدیت

سرفصل ها و درس ها

مقدمه Introduction

• ساخت زنجیره‌های تأمین نرم‌افزاری امن با ابزارهای متن‌باز Building secure software supply chains with open-source tools

• اهداف دوره و نتایج مورد انتظار Course objectives and expected outcomes

1. امنیت زنجیره تأمین: ابزارهایی برای توسعه نرم‌افزاری مدرن 1. Supply Chain Security: Tools for Modern Software Development

• راه‌اندازی محیط: داکر و OWASP juice shop Setting up the environment: Docker and the OWASP juice shop

• امنیت زنجیره تأمین چیست؟ What is supply chain security?

• چرا امنیت زنجیره تأمین در توسعه نرم‌افزارهای مدرن اهمیت دارد؟ Why supply chain security matters in modern software development

• آسیب‌پذیری‌ها، مسمومیت وابستگی‌ها و نشت اطلاعات حساس Vulnerabilities, dependency poisoning, and secrets leakage

• مرور ابزارها: Syft، Grype، Trivy و Gitleaks Overview of tools: Syft, Grype, Trivy, Gitleaks

2. مدیریت لیست مواد تشکیل‌دهنده نرم‌افزار (SBOM) 2. Software Bill of Materials (SBOM) Management

• SBOM چیست؟ What is an SBOM?

• استفاده از SBOMها برای انطباق با استانداردها Using SBOMs for compliance

• آزمایش عملی: تولید و تحلیل SBOM برای OWASP juice shop Hands-on lab: Generate and analyze an SBOM for the OWASP juice shop

• مزایای SBOMها در امنیت زنجیره تأمین Benefits of SBOMs in supply chain security

• تولید SBOMها با استفاده از Syft Generating SBOMs with Syft

• تحلیل SBOMها برای شناسایی آسیب‌پذیری‌ها با Grype Analyzing SBOMs for vulnerabilities using Grype

3. اسکن وابستگی‌ها 3. Dependency Scanning

• آزمایش عملی: اسکن OWASP juice shop برای وابستگی‌های آسیب‌پذیر Hands-on lab: Scan the OWASP juice shop for vulnerable dependencies

• خودکارسازی اسکن وابستگی‌ها در خط‌لوله‌های CI/CD Automating dependency scans in CI/CD pipelines

• اسکن سیستم‌فایل‌ها و ایمیج‌های کانتینر با Trivy Scanning filesystems and container images with Trivy

• ریسک‌های وابستگی‌های آسیب‌پذیر در پروژه‌های نرم‌افزاری The risks of vulnerable dependencies in software projects

• رفع آسیب‌پذیری‌ها: به‌روزرسانی وابستگی‌ها Remediating vulnerabilities: Updating dependencies

• آشنایی با Trivy برای اسکن وابستگی‌ها Introduction to Trivy for dependency scanning

4. شناسایی اطلاعات حساس (Secrets) 4. Secrets Detection

• آشنایی با Gitleaks برای شناسایی اطلاعات حساس Introduction to Gitleaks for secrets detection

• بهترین روش‌ها برای مدیریت Secrets Best practices for secrets management

• آزمایش عملی: یافتن اطلاعات حساس Hardcoded در کد بیس juice shop Hands-on lab: Find hardcoded secrets in the juice shop codebase

• چرا اطلاعات حساس Hardcoded یک ریسک بزرگ هستند؟ Why hardcoded secrets are a major risk

• پیکربندی Gitleaks برای اسکن‌های موثر Configuring Gitleaks for effective scans

5. خط‌لوله‌های CI/CD امن 5. Secure CI/CD Pipelines

• ادغام SBOMها، اسکن و شناسایی Secrets در خط‌لوله‌ها Integrating SBOMs, scanning, and secrets detection into pipelines

• آزمایش عملی: ساخت یک خط‌لوله امن موازی Hands-on lab: Build a parallelized secure pipeline

• ساخت خط‌لوله امن با GitHub Actions Building a secure pipeline with GitHub Actions

• اهمیت ایمن‌سازی خط‌لوله‌های CI/CD در امنیت زنجیره تأمین Importance of securing CI/CD pipelines in supply chain security

• موازی‌سازی بررسی‌های امنیتی برای اجرای سریع‌تر Parallelizing security checks for faster execution

جمع‌بندی Conclusion

• گام‌های بعدی Next steps