Curso de SonarQube para SDL Segura e Azure DevOps

1. Conceitos e Escopo da Análise de Código Estático

• Definições: análise estática, SAST, categorias de regras e severidade
• Escopo da análise estática no SDLC seguro e cobertura de riscos
• Como o SonarQube se encaixa nos controles de segurança e fluxos de trabalho de desenvolvedores

2. Visão Geral do SonarQube: Funcionalidades e Arquitetura

• Serviços principais, banco de dados e componentes de scanner
• Gates de Qualidade, Perfis de Qualidade e práticas recomendadas para Gates de Qualidade
• Funcionalidades relacionadas à segurança: vulnerabilidades, regras SAST e mapeamento CWE

3. Navegação e Uso da Interface do Servidor SonarQube

• Tour pela interface do servidor: projetos, issues, regras, medidas e visualizações de governança
• Interpretação de páginas de issues, rastreabilidade e orientação para correção
• Geração de relatórios e opções de exportação

4. Configuração do SonarScanner com Ferramentas de Construção

• Configurando o SonarScanner para Maven, Gradle, Ant e MSBuild
• Práticas recomendadas para propriedades do scanner, exclusões e projetos multimódulo
• Geração de dados de teste necessários e relatórios de cobertura para análise precisa

5. Integração com o Azure DevOps

• Configurando conexões de serviço do SonarQube no Azure DevOps
• Adicionando tarefas do SonarQube aos pipelines do Azure e decoração de PR
• Importando repositórios do Azure para o SonarQube e automatizando análises

6. Configuração de Projeto e Analisadores de Terceiros

• Perfis de Qualidade de nível de projeto e seleção de regras para Java e Angular
• Trabalhando com analisadores de terceiros e ciclo de vida de plugins
• Definindo parâmetros de análise e herança de parâmetros

7. Papéis, Responsabilidades e Revisão do Método de Desenvolvimento Seguro

• Segregação de papéis: desenvolvedores, revisores, DevOps, proprietários de segurança
• Construindo uma matriz de papéis e responsabilidades para processos CI/CD
• Revisão e processo de recomendação para um método de desenvolvimento seguro existente

8. Avançado: Adicionando Regras, Ajuste e Melhoria de Funcionalidades Globais de Segurança

• Usando a API Web do SonarQube para adicionar e gerenciar regras personalizadas
• Ajustando Gates de Qualidade e aplicação automática de políticas
• Aumentando a segurança do servidor SonarQube e melhores práticas de controle de acesso

9. Sessões Práticas de Laboratório (Aplicadas)

• Laboratório A: Configurar o SonarScanner para 5 repositórios Java (Quarkus quando aplicável) e analisar resultados
• Laboratório B: Configurar análise do Sonar para 1 front-end Angular e interpretar os achados
• Laboratório C: Laboratório de pipeline completo—integrar o SonarQube com um pipeline do Azure DevOps e habilitar decoração de PR

10. Testes, Solução de Problemas e Interpretação de Relatórios

• Estratégias para geração de dados de teste e medição de cobertura
• Problemas comuns e solução de problemas de scanner, pipeline e erros de permissão
• Como ler e apresentar relatórios do SonarQube a stakeholders técnicos e não-técnicos

11. Melhores Práticas e Recomendações

• Seleção de conjuntos de regras e estratégias de aplicação incremental
• Recomendações de fluxo de trabalho para desenvolvedores, revisores e pipelines de build
• Roadmap para escalar o SonarQube em ambientes empresariais

Resumo e Próximos Passos