دوره DevSecOps برای تیم های توسعه همراه با فلش‌کارت آموزشی — ارائه روی فلش مموری

📚 کتاب آموزشی جامع

📚 اطلاعات کتاب

عنوان کتاب: کتاب DevSecOps برای تیم های توسعه

موضوع کلی: برنامه نویسی

موضوع میانی: امنیت سایبری و برنامه‌نویسی امن

📋 سرفصل‌های کتاب (100 موضوع)

• 1. مقدمه‌ای بر DevOps: فلسفه و اصول
• 2. مقدمه‌ای بر امنیت سایبری: مفاهیم کلیدی
• 3. DevSecOps چیست؟ آشنایی با مفهوم "Shift Left"
• 4. چرا DevSecOps برای تیم‌های توسعه ضروری است؟
• 5. اصول سه‌گانه امنیت اطلاعات (CIA Triad): محرمانگی، یکپارچگی، در دسترس بودن
• 6. آشنایی با OWASP Top 10: ده آسیب‌پذیری برتر وب
• 7. مدل‌سازی تهدید (Threat Modeling): مفاهیم اولیه
• 8. چرخه حیات توسعه نرم‌افزار امن (Secure SDLC)
• 9. فرهنگ امنیت و مسئولیت مشترک در تیم
• 10. مفاهیم پایه شبکه برای امنیت (TCP/IP, HTTP/S, DNS)
• 11. تفاوت بین آسیب‌پذیری، تهدید و ریسک
• 12. کنترل‌های دسترسی: احراز هویت (Authentication)
• 13. کنترل‌های دسترسی: مجوزدهی (Authorization)
• 14. حساب‌رسی و ثبت وقایع (Auditing & Logging)
• 15. معرفی ابزارهای کلیدی در اکوسیستم DevSecOps
• 16. اعتبارسنجی ورودی‌ها (Input Validation) و جلوگیری از تزریق
• 17. جلوگیری از حملات تزریق SQL (SQL Injection)
• 18. جلوگیری از حملات Cross-Site Scripting (XSS)
• 19. جلوگیری از حملات Cross-Site Request Forgery (CSRF)
• 20. کدگذاری خروجی‌ها (Output Encoding)
• 21. مدیریت امن جلسات (Secure Session Management)
• 22. مدیریت امن کوکی‌ها و توکن‌ها
• 23. رمزنگاری در عمل: مفاهیم پایه (Hashing, Encryption, Signing)
• 24. استفاده صحیح از الگوریتم‌های رمزنگاری
• 25. مدیریت امن خطاها و استثناها (Secure Error Handling)
• 26. جلوگیری از افشای اطلاعات حساس در پیام‌های خطا
• 27. امنیت در کار با فایل‌ها: آپلود و دانلود امن
• 28. جلوگیری از آسیب‌پذیری‌های Path Traversal
• 29. اصول حداقل دسترسی (Principle of Least Privilege)
• 30. دفاع در عمق (Defense in Depth)
• 31. امن‌سازی API‌ها: احراز هویت و مجوزدهی در RESTful API
• 32. جلوگیری از حملات رایج به API‌ها (Rate Limiting, Data Exposure)
• 33. مدیریت وابستگی‌ها (Dependency Management) و امنیت زنجیره تأمین نرم‌افزار
• 34. استفاده از کتابخانه‌های امن و به‌روز
• 35. مقابله با پیکربندی امنیتی اشتباه (Security Misconfiguration)
• 36. مقدمه‌ای بر CI/CD و پایپ‌لاین‌های توسعه
• 37. ادغام امنیت در فاز طراحی: مدل‌سازی تهدید پیشرفته (STRIDE)
• 38. تعریف نیازمندی‌های امنیتی در User Story ها
• 39. امن‌سازی کنترل نسخه (Git): بهترین شیوه‌ها
• 40. جلوگیری از ثبت اطلاعات حساس در Git (Secrets)
• 41. استفاده از ابزارهای اسکن سورس کد قبل از Commit (Pre-commit Hooks)
• 42. آشنایی با تست امنیت ایستا (SAST)
• 43. ادغام ابزارهای SAST در پایپ‌لاین CI/CD
• 44. تحلیل و اولویت‌بندی نتایج اسکن SAST
• 45. آشنایی با تحلیل ترکیب نرم‌افزار (SCA)
• 46. ادغام ابزارهای SCA برای یافتن آسیب‌پذیری در وابستگی‌ها
• 47. مدیریت لایسنس کتابخانه‌ها با ابزارهای SCA
• 48. مدیریت امن اطلاعات حساس (Secrets Management)
• 49. معرفی ابزارهای مدیریت Secrets مانند HashiCorp Vault
• 50. آشنایی با تست امنیت پویا (DAST)
• 51. تفاوت‌های کلیدی بین SAST و DAST
• 52. ادغام ابزارهای DAST در محیط تست
• 53. اتوماسیون اسکن‌های DAST در پایپ‌لاین
• 54. آشنایی با تست امنیت تعاملی (IAST)
• 55. مزایای IAST در مقایسه با SAST و DAST
• 56. آشنایی با تست فاز (Fuzz Testing)
• 57. امن‌سازی فرآیند Build: امضای دیجیتال آرتیفکت‌ها
• 58. استفاده از رجیستری‌های امن برای آرتیفکت‌ها (Artifact Repository)
• 59. ایجاد دروازه‌های کیفیت امنیتی (Security Quality Gates) در پایپ‌لاین
• 60. شکستن Build در صورت وجود آسیب‌پذیری‌های حیاتی
• 61. مقدمه‌ای بر کانتینرها و Docker
• 62. بهترین شیوه‌ها برای نوشتن Dockerfile امن
• 63. اسکن آسیب‌پذیری در ایمیج‌های داکر
• 64. ادغام اسکنر ایمیج در CI/CD
• 65. امن‌سازی Docker Daemon و Host
• 66. مفاهیم پایه امنیت در Kubernetes
• 67. احراز هویت و مجوزدهی در Kubernetes (RBAC)
• 68. استفاده از استانداردهای امنیتی Pod (Pod Security Standards)
• 69. مدیریت Secrets در Kubernetes
• 70. امنیت شبکه در Kubernetes (Network Policies)
• 71. مقدمه‌ای بر زیرساخت به عنوان کد (Infrastructure as Code - IaC)
• 72. امن‌سازی قالب‌های IaC (مثال: Terraform, CloudFormation)
• 73. اسکن امنیتی کدهای IaC
• 74. پیکربندی امن سرورها و سخت‌سازی (Hardening)
• 75. اتوماسیون فرآیند Hardening با ابزارهای مدیریت پیکربندی
• 76. امنیت در محیط‌های ابری (Cloud Security)
• 77. مدل مسئولیت مشترک در ابر (Shared Responsibility Model)
• 78. امن‌سازی هویت و دسترسی در ابر (IAM)
• 79. امنیت شبکه در ابر (VPC, Security Groups)
• 80. پیکربندی امن سرویس‌های ابری رایج (S3, EC2)
• 81. اهمیت لاگ‌برداری متمرکز برای امنیت
• 82. چه رویدادهای امنیتی را باید لاگ کرد؟
• 83. آشنایی با سیستم‌های مدیریت اطلاعات و رویدادهای امنیتی (SIEM)
• 84. مانیتورینگ و هشداردهی برای فعالیت‌های مشکوک
• 85. آشنایی با فایروال برنامه وب (WAF)
• 86. حفاظت از خود برنامه در زمان اجرا (RASP)
• 87. آشنایی با سیستم‌های تشخیص و جلوگیری از نفوذ (IDS/IPS)
• 88. مدیریت آسیب‌پذیری‌ها در محیط Production
• 89. فرآیند پچ و به‌روزرسانی امن
• 90. مقدمه‌ای بر پاسخ به حوادث (Incident Response)
• 91. نقش تیم توسعه در فرآیند پاسخ به حوادث
• 92. تحلیل ریشه‌ای خطا (Root Cause Analysis) پس از یک حادثه امنیتی
• 93. اتوماسیون در امنیت (Security Orchestration, Automation, and Response - SOAR)
• 94. آشنایی با تست نفوذ (Penetration Testing) و نقش آن
• 95. مفهوم باگ بانتی (Bug Bounty) و افشای مسئولانه
• 96. ایجاد فرهنگ امنیت: برنامه Security Champions
• 97. اندازه‌گیری بلوغ DevSecOps: متریک‌ها و KPIها
• 98. انطباق با استانداردها و مقررات (Compliance as Code)
• 99. امنیت در هوش مصنوعی و یادگیری ماشین (AI/ML Security)
• 100. آینده DevSecOps و روندهای نوظهور