Dans la fenêtre d’impression, choisissez « Enregistrer en PDF » comme destination.

Réf. DSO-SEC

DevSecOps - Sécuriser les pipelines CI/CD

DevOps

Durée

21 à 28 heures (3 à 4 jours) selon le format

Modalités

Présentiel, Classe à distance

Reconnaissance

Formation non certifiante (attestation de fin de formation)

Format de vente

Intra-entreprise

Délai d’accès

En moyenne 15 jours ouvrés après l’acceptation du devis

Tarif intra

Sur devis

Pourquoi suivre cette formation

Intégrer la sécurité dès le début du développement (Shift Left) est essentiel face aux cyberattaques. Cette formation vous apprend à automatiser l'analyse du code, des secrets et des conteneurs dans vos pipelines CI/CD.

À l’issue de cette formation, les participants seront capables de

Intégrer des outils de sécurité automatisés (SAST, DAST, SCA) dans un pipeline CI/CD existant
Repérer et corriger en temps réel les vulnérabilités du code et des dépendances
Sécuriser la gestion des secrets (clés API, identifiants) au sein de l'infrastructure
Réduire fortement le délai de correction des failles de sécurité des applications
Garantir en continu la conformité des logiciels avant leur mise en production

Formats proposés

ACTIONImmersion21 heures (3 jours)

IMPACTTerrain28 heures (4 jours) · dont une journée en décalé

Chaque format reprend le précédent et y ajoute des journées.

Public visé

Ingénieurs DevOps, Administrateurs Systèmes, Lead Developers, Architectes Logiciels, Responsables Sécurité des Systèmes d'Information (RSSI).

Prérequis

Pratique courante d'un outil de CI/CD (GitLab CI, GitHub Actions ou Jenkins), connaissances de base de Linux et de la conteneurisation (Docker).

Prérequis techniques à distance

La classe virtuelle se tient sur Microsoft Teams : AMBIA fournit à chaque participant un compte pour la durée de la formation. En intra-entreprise, elle peut aussi se tenir sur l’outil que l’entreprise utilise déjà, par exemple Zoom ou Google Meet.

Le participant se connecte depuis un ordinateur équipé d’une caméra, d’un micro, d’un accès à internet et d’un navigateur à jour, dans un lieu calme. Si la formation le demande, le formateur donne accès à un poste de travail à distance, depuis le navigateur.

Pendant la formation, l’assistance technique répond à support@ambia-skills.fr.

Objectifs pédagogiques

Identifier les concepts clés du DevSecOps, du manifeste Agile et des typologies de tests de sécurité (SAST, DAST, SCA, IAST). Expliquer le principe du Shift Left et l'importance de l'analyse continue des vulnérabilités. Configurer et automatiser des scanners de sécurité open-source et premium au sein d'un pipeline CI/CD. Interpréter les rapports d'analyse de vulnérabilités et prioriser les actions de remédiation. Auditer la posture de sécurité d'une image de conteneur et d'une infrastructure-as-code (IaC). Concevoir une chaîne de livraison logicielle sécurisée de bout en bout, interdisant le déploiement de ressources vulnérables.

Programme détaillé

Jour 1ACTION

Matin

Fondations du DevSecOps et sécurité du code source (SAST)

Comprendre les principes de la culture DevSecOps et du cycle Shift Left. Identifier et corriger les vulnérabilités de code (SAST) et fuites de secrets. Mettre en œuvre des hooks de pré-commit pour bloquer les données sensibles en local.

Introduction aux enjeux de la sécurité applicative (OWASP Top 10).
Analyse statique de code (SAST) : principes et outils (SonarQube, Semgrep).
Détection automatisée de secrets (Gitleaks, Trufflehog) dans l'historique Git.
Automatisation locale : configuration de Git hooks (pre-commit).

Atelier pratique

Déploiement d'un hook de pre-commit et configuration d'un analyseur SAST sur un projet de développement.

Cas métier

Sécurisation du code d'une API web (détection de failles d'injection SQL et de clés d'API AWS codées en dur).

Compétence acquise

Être capable d'intercepter les vulnérabilités logicielles et les fuites de secrets avant qu'elles ne quittent le poste de travail du développeur.

Livrable

Dépôt Git configuré avec hooks locaux et pipeline de validation de code initial (SAST).

Après-midi

Gestion des dépendances (SCA) et licences open source

Analyser et sécuriser l'arbre des dépendances logicielles (SCA). Automatiser la détection des vulnérabilités tierces (CVE) dans les pipelines. Générer un SBOM (Software Bill of Materials) pour assurer la conformité logicielle.

Problématique des dépendances open-source et attaques sur la chaîne d'approvisionnement (Supply Chain Attacks).
Analyse de composition logicielle (SCA) : outils d'analyse (Snyk, OWASP Dependency-Check).
Gestion des licences logicielles et conformité juridique.
Génération de rapports de conformité SBOM (format CycloneDX ou SPDX).

Atelier pratique

Intégration d'un scanner de dépendances dans un pipeline de build et génération d'un rapport de conformité logicielle.

Cas métier

Audit de dépendances sur une application Node.js/Python contenant des bibliothèques obsolètes ciblées par des exploits connus.

Compétence acquise

Savoir cartographier, auditer et valider la conformité de l'ensemble des briques logicielles externes utilisées dans un produit.

Livrable

Pipeline de build enrichi d'un module d'analyse SCA avec blocage de sécurité et extraction de SBOM.

Jour 2ACTION

Matin

Sécurisation des conteneurs (Docker) et de l'Infrastructure as Code (IaC)

Durcir et sécuriser les configurations d'images de conteneurs (Docker). Analyser et valider la sécurité des scripts d'infrastructure (Terraform, Ansible, Kubernetes). Automatiser le scan de conformité de l'infrastructure d'accueil.

Risques liés aux conteneurs : privilèges root, packages inutiles, vulnérabilités de l'OS de base.
Scan d'images de conteneurs dans la registry avec Trivy ou Clair.
Sécurisation de l'Infrastructure as Code (IaC) : identification des mauvaises configurations (Checkov, ou Trivy qui a repris les fonctions de tfsec).
Principes du moindre privilège appliqué aux fichiers de configuration cloud et d'orchestration.

Atelier pratique

Durcissement d'un Dockerfile et écriture de règles de validation automatiques sur des scripts Terraform/Kubernetes.

Cas métier

Sécurisation du déploiement d'une stack applicative conteneurisée sur un cluster Kubernetes, correction de configurations réseau trop permissives.

Compétence acquise

Savoir garantir que l'environnement d'exécution (conteneur) et l'infrastructure d'accueil (IaC) sont exempts de failles de configuration majeures.

Livrable

Dockerfile durci et scripts Terraform validés, associés à un pipeline d'analyse IaC & d'image.

Après-midi

Gestion dynamique des secrets (HashiCorp Vault)

Centraliser et sécuriser la distribution des identifiants et clés de sécurité. Intégrer un coffre-fort de secrets dynamique dans un pipeline automatisé. Supprimer définitivement les variables d'environnement persistantes et non chiffrées.

Concepts de coffre-fort numérique et cycle de vie des secrets.
Déploiement et principes d'HashiCorp Vault (moteurs de stockage, authentification, politiques d'accès).
Récupération dynamique de secrets depuis un pipeline CI/CD de manière sécurisée (tokens éphémères).
Mécanismes de rotation automatique des identifiants d'accès.

Atelier pratique

Configuration de politiques de sécurité dans HashiCorp Vault et interfaçage avec un runner CI/CD pour l'injection dynamique d'identifiants de base de données.

Cas métier

Automatisation du déploiement d'une application nécessitant des accès sécurisés à une base de données de production sans stocker d'identifiants dans le code ou l'outil CI/CD.

Compétence acquise

Maîtriser les architectures modernes de gestion de secrets applicatifs et d'infrastructure de manière dynamique.

Livrable

Pipeline CI/CD connecté à un coffre-fort pour s'authentifier de manière éphémère et sécurisée.

Jour 3ACTION

Matin

Tests de sécurité dynamiques (DAST) et contrôles à l'exécution

Déployer des tests de sécurité applicative dynamiques (DAST) en environnement de staging. Automatiser des scénarios d'attaque applicative (fuzzing, injections) sur l'application en cours d'exécution. Analyser les comportements applicatifs anormaux lors de l'exécution.

Différence entre SAST (statique) et DAST (dynamique) : pourquoi associer les deux méthodes.
Automatisation de scans DAST légers avec OWASP ZAP au sein du pipeline.
Interprétation des rapports de vulnérabilités web dynamiques (XSS, CSRF, Broken Auth).
Introduction aux tests de conformité de sécurité (Inspec, Goss).

Atelier pratique

Lancement automatisé d'un scan OWASP ZAP à la fin d'un build de staging et génération d'un rapport de menaces applicatives.

Cas métier

Audit de pénétration automatisé sur une application de e-commerce déployée temporairement dans le pipeline de validation.

Compétence acquise

Être capable de tester la robustesse d'un logiciel en situation réelle d'exécution face à des charges utiles d'attaque courantes.

Livrable

Pipeline de déploiement continu intégrant une étape d'exécution et d'analyse dynamique DAST.

Après-midi

Supervision de la sécurité, alertes et conformité continue

Centraliser les logs de sécurité des pipelines de déploiement et des environnements d'exécution. Configurer des alertes de sécurité intelligentes en cas d'anomalie détectée en production. Définir des barrières de sécurité (Quality Gates) globales pour industrialiser la conformité.

Journalisation et auditabilité des pipelines : qui a déployé quoi, quand et comment ?
Intégration des métriques de sécurité dans des tableaux de bord centralisés.
Définition de seuils de qualité stricte (Quality Gates) bloquants dans GitLab CI / GitHub Actions.
Retours d'expérience sur la gouvernance de sécurité à grande échelle.

Atelier pratique

Construction d'une Quality Gate globale bloquant le passage en production si plus d'une vulnérabilité moyenne (Medium) est détectée, couplé à une alerte automatique.

Cas métier

Structuration de la console de supervision d'un Responsable Sécurité (RSSI) pour piloter la conformité en temps réel de 10 pipelines de livraison simultanés.

Compétence acquise

Savoir gouverner la sécurité des chaînes de déploiement à l'échelle d'une entreprise et réagir immédiatement aux incidents.

Livrable

Pipeline CI/CD complet, sécurisé de bout en bout (SAST, SCA, IaC, Secrets, DAST), doté d'une barrière de sécurité bloquante et d'une notification de conformité.

Jour 4 · en décaléIMPACT

Matin

Analyse de la sécurité du pipeline et des dépendances (SCA)

Repérer les vulnérabilités de la chaîne de build et intégrer un outil d'analyse des dépendances.

Analyse du pipeline de production de l'entreprise : dépendances vulnérables, intégration d'outils d'analyse de la composition logicielle (SCA) et règles de blocage des builds.

Après-midi

Intégration du SAST et du DAST, et gestion des alertes de sécurité

Configurer l'analyse du code source (SonarQube, Semgrep) et l'analyse dynamique.

Correction des faux positifs sur l'application métier, déploiement des outils SAST, recherche automatique des secrets exposés (GitGuardian) et remontée centralisée des failles vers les développeurs.

Les ateliers et cas métier de ce programme pourront être adaptés par le consultant-formateur selon les besoins, le niveau et les prérequis des participants, pour favoriser l’atteinte des objectifs pédagogiques.

Méthodes et moyens pédagogiques

Méthodes mobilisées

Pédagogie active et immersive basée sur l'ingénierie inversée (analyser des failles pour mieux les contrer). Alternance de démonstrations techniques ciblées, de phases de résolution de problèmes en autonomie (Capture The Flag technique) et de revues de code critiques collectives.

Moyens techniques

Un environnement de lab virtuel individuel (Cloud) par participant, accès aux référentiels de code de test, outils de scan pré-intégrés (SonarQube, Trivy, Gitleaks, OWASP ZAP), accès à la plateforme pédagogique d'AMBIA.

Moyens humains

Formation animée par un consultant-formateur expert senior, ingénieur DevSecOps certifié (ex : AWS Certified Security, Certified DevSecOps Professional) et en activité sur des projets de sécurisation d'infrastructures d'envergure.

Modalités d’évaluation

Évaluation diagnostique

Questionnaire d'auto-évaluation et de positionnement technique adressé aux apprenants 15 jours avant le début de la formation pour valider les prérequis.

Évaluation formative

Ateliers pratiques métiers, revues de pipelines collectives et défis techniques (Capture The Flag) tout au long des trois jours.

Évaluation sommative

Questionnaire de validation des acquis sous forme de QCM en fin de formation et contrôle de conformité des livrables (pipelines de livraison) construits durant les ateliers.

Suivi

Feuilles de présence signées par demi-journée, en présentiel comme à distance.
Attestation de fin de formation remise à chaque stagiaire, mentionnant les objectifs, la nature, la durée et les résultats de l’évaluation.
Certificat de réalisation adressé au client ou au financeur.
Questionnaire de satisfaction remis à l’issue de la formation.

Délai d’accès

Intra-entreprise : La formation débute en moyenne 15 jours ouvrés après l’acceptation du devis.

Ce délai peut être adapté selon la disponibilité des sessions, le positionnement du stagiaire et, le cas échéant, l’instruction du dossier de prise en charge par le financeur.

Accessibilité handicap

Nos parcours sont adaptables aux personnes en situation de handicap. Contactez notre référent pour l'étude des aménagements.

Référent handicap : accessibilite@ambia-skills.fr. Aucune reconnaissance de la qualité de travailleur handicapé ni aucun justificatif médical n’est exigé.

Indicateurs de résultats

Indicateurs publiés à partir de 3 avis.

Mode de calcul : www.ambia-skills.fr/notre-approche#notes