Une formation DevSecOps sur la pile que votre équipe exploite vraiment
Des ateliers pratiques pour les équipes de développement, plateforme et DevOps, construits sur vos propres chaînes CI/CD, votre code d'infrastructure et votre environnement cloud. Une sécurité qui s'intègre à la livraison au lieu de lui barrer la route.
Présentation
Pourquoi les cours DevSecOps génériques changent rarement une chaîne
La plupart des cours DevSecOps présentent une chaîne de référence qui ne ressemble pas à la vôtre. Les ingénieurs approuvent, retournent à leurs propres dépôts et changent peu de choses, car transposer la leçon à leurs outils leur revient, au milieu d'une semaine chargée.
Black Fox forme sur votre pile. Avant l'atelier, nous regardons vos chaînes, votre code d'infrastructure, vos images de conteneurs et votre configuration cloud, et construisons les exercices autour. Le contenu vient de ce que nous trouvons en testant et en auditant des systèmes comparables : secrets dans les journaux de build, jetons de chaîne aux droits excessifs, réglages cloud par défaut trop permissifs, dépendances non épinglées et contrôles de sécurité que tout le monde a appris à ignorer.
L'objectif est pratique. Les participants repartent en sachant quel contrôle placer où, comment le garder assez rapide et discret pour que ses résultats soient lus, et comment intégrer la modélisation des menaces à la planification sans une réunion de plus à laquelle personne ne vient.
À qui s'adresse ce service
Les équipes de développement, plateforme et DevOps qui gèrent des chaînes CI/CD, du code d'infrastructure et des environnements cloud, les organisations qui introduisent des pratiques DevSecOps et veulent que leurs équipes les portent elles-mêmes, et les entreprises qui se préparent aux revues de sécurité de leurs clients, à un test d'intrusion ou à des référentiels qui attendent une formation au développement sécurisé.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Sécurité des chaînes CI/CD
Durcir la chaîne elle-même et les contrôles qu'elle exécute : droits des runners et des jetons, branches protégées, artefacts signés, et la place de l'analyse statique, de l'analyse des dépendances et des images, par exemple avec les outils dont vous disposez déjà.
Infrastructure as code
Les erreurs de configuration courantes dans Terraform, les manifestes Kubernetes ou les charts Helm, entre autres, comment des contrôles de politiques les arrêtent avant le déploiement et comment relire les changements d'infrastructure comme du code applicatif.
Configuration des conteneurs et du cloud
Images minimales et à jour, privilèges à l'exécution, exposition réseau, identités et accès dans le cloud, journalisation, et les réglages par défaut à changer dès le premier jour.
Dépendances et chaîne d'approvisionnement
Paquets vulnérables connus ou abandonnés, épinglage des versions et routines de mise à jour, nomenclatures logicielles (SBOM), provenance, et que faire quand un paquet en amont est compromis.
Gestion des secrets
Garder les identifiants hors du code, des images et des journaux, utiliser un gestionnaire de secrets, des identifiants de courte durée, détecter les fuites dans l'historique et renouveler sans interruption de service.
Contrôles bloquants et modélisation des menaces au rythme de l'équipe
Décider quels constats bloquent un build et lesquels se contentent de signaler, régler les contrôles pour réduire le bruit, et de courtes séances de modélisation des menaces qui trouvent leur place dans l'affinage ou la revue de conception.
Déroulement de la mission
Lancement
Nous convenons des équipes, des sujets, du format et de la langue, et signons d'abord un accord de confidentialité si vous le souhaitez.
Revue de la pile
Nous examinons un échantillon de vos chaînes, de votre code d'infrastructure et de votre environnement cloud, par des accès que vous contrôlez, pour choisir les exemples et exercices qui comptent pour vous.
Adaptation
Nous construisons l'atelier autour de vos outils, de vos plateformes et des sujets relevés, avec une profondeur adaptée aux participants.
Ateliers
Des sessions pratiques à distance ou sur site, en français, en anglais ou en allemand, avec des exercices sur vos propres dépôts ou sur une copie sûre de ceux-ci.
Suivi
Une synthèse de ce qui a été couvert, des sujets soulevés et des prochaines étapes concrètes, avec du temps pour les questions une fois que l'équipe a essayé les changements.
Ce que vous recevez
- Plan de formation validé avec vos responsables techniques
- Ateliers adaptés à votre pile et à vos outils
- Exercices et exemples tirés de vos propres chaînes et de votre infrastructure
- Supports de formation et listes de contrôle de référence pour vos équipes
- Synthèse des sujets observés et des prochaines étapes recommandées
- Feuilles de présence et, sur demande, une attestation de participation
Questions
En quoi est-ce différent de votre accompagnement DevSecOps ?
L'accompagnement change vos processus et votre outillage avec vos équipes. Cette formation donne à vos ingénieurs les compétences pour faire vivre et étendre ces pratiques eux-mêmes. Beaucoup de clients combinent les deux.
Avez-vous besoin d'accéder à nos systèmes ?
Cela aide. Un accès en lecture à un échantillon de chaînes et de code d'infrastructure permet de construire des exercices sur des cas réels. Si ce n'est pas possible, nous utilisons des exemples réalistes adaptés à vos outils et plateformes.
Quels outils couvrez-vous ?
Autant que possible, ceux de vos équipes. Nous enseignons les principes en prenant pour exemples votre plateforme CI/CD, votre fournisseur cloud et vos scanners, et suggérons des options open source ou commerciales là où il manque quelque chose.
S'agit-il d'une formation certifiante ?
Non. Black Fox ne délivre pas de certifications officielles. Les participants reçoivent les supports, et nous pouvons fournir une attestation de participation sur demande.
Services associés
- Conseil et réponseDevSecOps et développement sécuriséDevSecOps avec Black Fox Security : cycle de développement sécurisé, modélisation des menaces, revue de code, sécurité CI/CD, dépendances, secrets et formation.
- Conseil et réponseFormation au développement sécuriséFormation au développement sécurisé par Black Fox Security : failles du Top 10 OWASP, conception et revue de code sûres, tests de sécurité, dans votre stack.
- Conseil et réponseSensibilisation à la sécuritéFormations Black Fox Security : sensibilisation à la sécurité et à l'ingénierie sociale, réponse à incident, DevSecOps, pour équipes, développeurs et direction.
- Conseil et réponseFormation à l'hygiène numériqueFormation pratique à l'hygiène numérique par Black Fox Security : mots de passe, MFA, hameçonnage, mises à jour, données et télétravail, adaptée à vos outils.
Formez vos ingénieurs sur leurs propres chaînes
Décrivez-nous comment vos équipes construisent, déploient et exploitent leurs logiciels aujourd'hui. Nous vous proposerons des ateliers adaptés à votre pile et à votre rythme de livraison.