Kursus Pelatihan SonarQube untuk SDLC Aman dan Azure DevOps

1. Konsep dan Cakupan Analisis Kode Statis

• Definisi: analisis statis, SAST, kategori aturan, dan tingkat keparahan
• Cakupan analisis statis dalam SDLC aman dan cakupan risiko
• Cara SonarQube terintegrasi ke dalam kontrol keamanan dan alur kerja pengembang

2. Gambaran Umum SonarQube: Fitur dan Arsitektur

• Layanan inti, database, dan komponen scanner
• Kualitas Gerbang (Quality Gates), Profil Kualitas, dan praktik terbaik Quality Gates
• Fitur terkait keamanan: kerentanan, aturan SAST, dan pemetaan CWE

3. Navigasi dan Penggunaan UI Server SonarQube

• Tour UI Server: proyek, masalah, aturan, metrik, dan tampilan tata kelola
• Menafsirkan halaman masalah, keterlacakan, dan panduan perbaikan
• Generasi laporan dan opsi ekspor

4. Konfigurasi SonarScanner dengan Alat Build

• Pengaturan SonarScanner untuk Maven, Gradle, Ant, dan MSBuild
• Praktik terbaik untuk properti scanner, pengecualian, dan proyek multi-modul
• Menhasilkan data tes dan laporan cakupan yang diperlukan untuk analisis yang akurat

5. Integrasi dengan Azure DevOps

• Konfigurasi koneksi layanan SonarQube di Azure DevOps
• Menambahkan tugas SonarQube ke Azure Pipelines dan dekorasi Pull Request (PR)
• Impor Azure Repos ke SonarQube dan otomatisasi analisis

6. Konfigurasi Proyek dan Analyzer Pihak Ketiga

• Profil Kualitas tingkat proyek dan pemilihan aturan untuk Java dan Angular
• Penanganan dengan analyzer pihak ketiga dan siklus hidup plugin
• Penentuan parameter analisis dan pewarisan parameter

7. Peran, Tanggung Jawab, dan Peninjauan Metodologi Pengembangan yang Aman

• Pemisahan peran: pengembang, peninjau, DevOps, pemilik keamanan
• Membangun matriks peran & tanggung jawab untuk proses CI/CD
• Proses peninjauan dan rekomendasi untuk metodologi pengembangan yang aman yang ada

8. Lanjutan: Menambahkan Aturan, Penyesuaian, dan Peningkatan Fitur Keamanan Global

• Menggunakan Web API SonarQube untuk menambah dan mengelola aturan kustom
• Mengatur Quality Gates dan penerapan kebijakan otomatis
• Pengamanan server SonarQube dan praktik terbaik kontrol akses

9. Sesi Laboratorium Praktis (Terapan)

• Laboratorium A: Konfigurasi SonarScanner untuk 5 repositori Java (Quarkus jika relevan) dan analisis hasil
• Laboratorium B: Konfigurasi analisis Sonar untuk 1 front-end Angular dan menafsirkan temuan
• Laboratorium C: Laboratorium pipeline lengkap—mengintegrasikan SonarQube dengan pipeline Azure DevOps dan mengaktifkan dekorasi PR

10. Pengujian, Pemecahan Masalah, dan Interpretasi Laporan

• Strategi untuk generasi data tes dan pengukuran cakupan
• Permasalahan umum dan pemecahan masalah untuk kesalahan scanner, pipeline, dan izin
• Cara membaca dan menyajikan laporan SonarQube kepada pemangku kepentingan teknis dan non-teknis

11. Praktik Terbaik dan Rekomendasi

• Pemilihan set aturan dan strategi penerapan bertahap
• Rekomendasi alur kerja untuk pengembang, peninjau, dan pipeline build
• Peta jalan untuk skalabilitas SonarQube di lingkungan perusahaan

Ringkasan dan Langkah Selanjutnya