Accueil    Formations    Informatique    Cybersécurité    Sécurité défensive    Sécurisation d'une plateforme DevOps : Ansible, Kubernetes, Docker, Terraform

Partager cette formation Télécharger au format pdf Ajouter à mes favoris

Objectifs pédagogiques / Compétences visées

  • Décrire les fondements du DevSecOps
  • Intégrer la sécurité dans un pipeline CI/CD (intégration et développement continu)
  • Identifier les vulnérabilités spécifiques aux technologies de conteneurisation
  • Effectuer des tests d'intrusion relatifs aux technologies de conteneurisation
  • Sécuriser les technologies de conteneurisation
  • Automatiser les tâches d'évaluation de sécurité relatives aux technologies de conteneurisation
  • Mettre en place une approche d'orchestration de sécurité
  • Automatiser les tâches d'évaluation, tester et sécuriser l'infrastructure
  • Mettre en place une politique de développement sécurisé de manière automatisée
  • Déployer des infrastructures de manière automatisée et sécurisée.

Niveau requis

Avoir des connaissances de base en administration Linux / Unix, sur Docker et connaître les principes de fonctionnement des conteneurs. Avoir également des connaissances sur Kubernetes et les principes de fonctionnement des ressources basiques.

Public concerné

Administrateurs systèmes, DevOps, DevSecOps, développeurs et/ou architectes.

Programme

Introduction et explication de DevSecOps

  • Introduction au DevSecOps : schématiser votre pipeline CI/CD
  • Structuration des architectures Cloud
  • Sécurité et DevOps
  • Implication, rôles et gestion d'équipes

Pourquoi DevSecOps ?

  • Terminologie et notions clés
  • Pourquoi DevSecOps devient de plus en plus important ?
  • L'approche DevOps avec la sécurité
  • Principes clés de DevSecOps
  • Outils pour le DevSecOps

Introduction et rappels Dockers

  • Introduction
  • Configuration du laboratoire
  • Qu'est-ce que Docker ?
  • Machines virtuelles vs conteneurs
  • Création de votre première image Docker
  • Exécution de votre premier conteneur Docker
  • Images vs conteneurs
  • Groupes de contrôle
  • Introduction aux espaces de noms (namespace)
  • Espaces de noms d'utilisateurs pour l'isolement entre les conteneurs et l'hôte
  • Nettoyage des conteneurs Docker

Test d'intrusion

  • Introduction
  • Docker Attack Surface
  • Exploiter des images vulnérables
  • Vérifier si vous êtes à l'intérieur du conteneur
  • Backdooring des images Docker existantes
  • Escalade de privilèges à l'aide de montages de volume
  • Introduction à docker.sock
  • Evasion de conteneur à l'aide de docker.sock
  • Ecrire dans l'espace du noyau à partir d'un conteneur
  • Volumes inutilisés
  • Principes de base de L'API Docker Remote
  • Exploiter L'API Docker Remote
  • Accéder aux Docker Secrets

Sécurité des conteneurs et réseau

  • Espaces de noms du noyau
  • Capacités Root
  • Mode informatique sécurisé
  • Modules de sécurité Linux
  • Cryptage réseau par défaut et personnalisé
  • Application, isolation

Contrôle d'accès basé sur les rôles

  • Modèle d'accès discrétionnaire
  • Intégration LDAP (Lightweight Directory Access Protocol)
  • Isolement multiclient
  • Audits de vulnérabilité connus
  • Signature d'identité

Introspection

  • Diffusion de journaux
  • Suivi métrique
  • Audit de la plateforme Docker

Introduction à Ansible

  • Rappels des principes de base d'Ansible
  • Gestion
    • Des packages
    • Des utilisateurs
    • Des services
  • Démarrer avec les Playbooks
  • Les différents rôles sous Ansible
  • Les fonctionnalités avancées

Automatisation des tâches de sécurité avec Ansible

  • Surveillance des journaux et défense automatisée sans serveur (Elastic Stack dans AWS)
  • Défense automatisée avec Ansible (orchestration)
  • Automatisation des tests de sécurité des applications Web à l'aide d'OWASP ZAP (Zed Attack Proxy)
  • Durcissement de la sécurité :
    • Pour les applications et les réseaux
    • Avec des références telles que CIS, STIG et NIST
  • Automatisation des vérifications d'audit de sécurité :
    • Pour les périphériques réseau à l'aide d'Ansible
    • Pour les applications utilisant Ansible
  • Approches de correctifs automatisés à l'aide d'Ansible

Création de Playbooks et modules Ansible

  • Création de Playbooks Ansible pour la collecte et le stockage avec sauvegarde sécurisée des artefacts forensics
  • Rédaction d'un module Ansible pour les tests de sécurité
  • Premiers pas avec un module Ansible "Hello World"
  • Mise en place de l'environnement de développement
  • Module OWASP ZAP
  • Utilisation d'Ansible en tant que module Python

Terraform

  • Provisionner l'infrastructure Cloud avec Terraform
  • Installer Terraform
  • Configurer Terraform
  • Ecrire un script Terraform pour déployer des infrastructures Cloud
  • Déployer l'infrastructure avec Terraform
  • Protéger "tfstate" dans un "backend" distant
  • Orchestration de sécurité avec Terraform
  • Recherche de vulnérabilités
  • Exploitation de vulnérabilités
  • Méthodologie de sécurisation Terraform
  • Bonnes pratiques de sécurité Terraform

Modalités d’évaluation des acquis

  • En cours de formation, par des études de cas ou des travaux pratiques
  • Et, en fin de formation, par un questionnaire d'auto-évaluation ou une certification (M2i ou éditeur)

Partager cette formation Télécharger au format pdf Ajouter à mes favoris

Vous souhaitez suivre cette formation ?

Cette formation est disponible en présentiel ou en classe à distance, avec un programme et une qualité pédagogique identiques.

Choisissez la modalité souhaitée pour vous inscrire :

Votre société a besoin d'une offre personnalisée ? Contactez-nous

Faites-nous part de votre projet de formation, nous sommes là pour vous guider.

Contactez-nous