Kursus Pelatihan SonarQube untuk Secure SDLC dan Azure DevOps

1. Konsep dan Lingkup Analisis Kode Statis

• Definisi: analisis statis, SAST, kategori aturan, dan tingkat keparahan
• Lingkup analisis statis dalam siklus hidup pengembangan perangkat lunak aman (SDLC) dan cakupan risiko
• Cara SonarQube masuk ke kontrol keamanan dan alur kerja pengembang

2. Ikhtisar SonarQube: Fitur dan Arsitektur

• Layanan inti, database, dan komponen scanner
• Gates Kualitas, Profil Kualitas, dan praktik terbaik Gates Kualitas
• Fitur keamanan terkait: kerentanan, aturan SAST, dan pemetaan CWE

3. Navigasi dan Penggunaan UI Server SonarQube

• Tour UI server: proyek, isu, aturan, ukuran, dan tampilan pemerintahan
• Menerjemahkan halaman isu, pelacakan, dan panduan remediasi
• Opsi pembuatan laporan dan ekspor

4. Konfigurasi SonarScanner dengan Alat Build

• Mengatur SonarScanner untuk Maven, Gradle, Ant, dan MSBuild
• Praktik terbaik untuk properti scanner, pengecualian, dan proyek multi-modul
• Membuat data uji yang diperlukan dan laporan cakupan untuk analisis akurat

5. Integrasi dengan Azure DevOps

• Mengonfigurasi koneksi layanan SonarQube di Azure DevOps
• Tambahkan tugas SonarQube ke Azure Pipelines dan dekorasi PR
• Impor Azure Repos ke SonarQube dan otomatisasi analisis

6. Konfigurasi Proyek dan Analyzer Pihak Ketiga

• Profil Kualitas tingkat proyek dan pemilihan aturan untuk Java dan Angular
• Bekerja dengan analyzer pihak ketiga dan siklus hidup plugin
• Tentukan parameter analisis dan warisan parameter

7. Peran, Tanggung Jawab, dan Tinjauan Metodologi Pengembangan Aman

• Pemisahan peran: pengembang, peninjau, DevOps, pemilik keamanan
• Membangun matriks peran & tanggung jawab untuk proses CI/CD
• Tinjau dan proses rekomendasi untuk metodologi pengembangan aman yang ada

8. Lanjutan: Menambahkan Aturan, Penyesuaian, dan Peningkatan Fitur Keamanan Global

• Menggunakan Web API SonarQube untuk menambahkan dan mengelola aturan kustom
• Mengatur Gates Kualitas dan penegakan kebijakan otomatis
• Penguatan keamanan server SonarQube dan praktik kontrol akses terbaik

9. Sesi Laboratorium Praktis (Terapkan)

• Laboratorium A: Konfigurasikan SonarScanner untuk 5 repositori Java (Quarkus jika berlaku) dan analisis hasilnya
• Laboratorium B: Konfigurasikan analisis Sonar untuk 1 front-end Angular dan interpretasikan temuan
• Laboratorium C: Laboratorium pipeline penuh—integrasikan SonarQube dengan pipeline Azure DevOps dan aktifkan dekorasi PR

10. Pengujian, Penyelesaian Masalah, dan Interpretasi Laporan

• Strategi untuk pembuatan data uji dan pengukuran cakupan
• Masalah umum dan penyelesaian masalah scanner, pipeline, dan kesalahan izin
• Cara membaca dan mempresentasikan laporan SonarQube kepada pemstakeholder teknis dan non-teknis

11. Praktik Terbaik dan Rekomendasi

• Pemilihan set aturan dan strategi penegakan inkremental
• Rekomendasi alur kerja untuk pengembang, peninjau, dan pipeline build
• Roadmap untuk penskalaan SonarQube di lingkungan perusahaan

Ringkasan dan Langkah Selanjutnya