Curso de SonarQube para SDLC Seguro e Azure DevOps

1. Conceitos e Escopo da Análise Estática de Código

• Definições: análise estática, SAST, categorias de regras e severidade
• Escopo da análise estática no SDLC seguro e cobertura de riscos
• Como o SonarQube se encaixa nos controles de segurança e nos fluxos de trabalho dos desenvolvedores

2. Visão Geral do SonarQube: Recursos e Arquitetura

• Serviços principais, banco de dados e componentes do scanner
• Portas de Qualidade (Quality Gates), Perfis de Qualidade e melhores práticas de Quality Gates
• Recursos relacionados à segurança: vulnerabilidades, regras SAST e mapeamento CWE

3. Navegação e Uso da Interface do Usuário do Servidor SonarQube

• Passeio pela interface do servidor: projetos, problemas, regras, métricas e visões de governança
• Interpretação das páginas de problemas, rastreabilidade e orientações de correção
• Geração de relatórios e opções de exportação

4. Configuração do SonarScanner com Ferramentas de Build

• Configuração do SonarScanner para Maven, Gradle, Ant e MSBuild
• Melhores práticas para propriedades do scanner, exclusões e projetos multi-módulos
• Geração de dados de teste e relatórios de cobertura necessários para uma análise precisa

5. Integração com o Azure DevOps

• Configuração de conexões de serviço do SonarQube no Azure DevOps
• Adição de tarefas do SonarQube aos Azure Pipelines e decoração de PRs (Pull Requests)
• Importação de repositórios do Azure Repos para o SonarQube e automação de análises

6. Configuração de Projetos e Analisadores de Terceiros

• Perfis de Qualidade no nível do projeto e seleção de regras para Java e Angular
• Trabalho com analisadores de terceiros e ciclo de vida de plugins
• Definição de parâmetros de análise e herança de parâmetros

7. Papéis, Responsabilidades e Revisão da Metodologia de Desenvolvimento Seguro

• Segregação de papéis: desenvolvedores, revisores, DevOps, responsáveis pela segurança
• Construção de uma matriz de papéis e responsabilidades para processos de CI/CD
• Revisão e processo de recomendação para uma metodologia de desenvolvimento seguro existente

8. Avançado: Adição de Regras, Ajuste Fino e Melhoria de Recursos de Segurança Globais

• Uso da API Web do SonarQube para adicionar e gerenciar regras personalizadas
• Ajuste de Portas de Qualidade e aplicação automática de políticas
• Reforço da segurança do servidor SonarQube e melhores práticas de controle de acesso

9. Sessões de Laboratório Prático (Aplicadas)

• Laboratório A: Configurar o SonarScanner para 5 repositórios Java (Quarkus quando aplicável) e analisar os resultados
• Laboratório B: Configurar a análise do Sonar para 1 frontend Angular e interpretar as descobertas
• Laboratório C: Laboratório de pipeline completo — integrar o SonarQube a um pipeline do Azure DevOps e habilitar a decoração de PRs

10. Testes, Solução de Problemas e Interpretação de Relatórios

• Estratégias para geração de dados de teste e medição de cobertura
• Problemas comuns e solução de erros de scanner, pipeline e permissões
• Como ler e apresentar relatórios do SonarQube para stakeholders técnicos e não técnicos

11. Melhores Práticas e Recomendações

• Seleção de conjuntos de regras e estratégias de aplicação incremental
• Recomendações de fluxo de trabalho para desenvolvedores, revisores e pipelines de build
• Roadmap para escalar o SonarQube em ambientes corporativos

Resumo e Próximos Passos