UserPartName
Не смотрите сюда, если не готовы сэкономить 15%
Собрали спецкаталог курсов с повышенными скидками. Предложение сгорит 31 июля.
Курс переработан
Внедрение и работа в DevSecOps
Научитесь встраивать безопасность в CI/CD и процесс разработки
31 августа
Professional
5 месяцев
Онлайн
Пн/Ср 20:00 Мск
Для кого этот курс?
- DevOps-инженерам и администраторам: встроить проверки безопасности в CI/CD, находить секреты и контролировать конфигурации.
- Разработчикам: понимать, как появляются уязвимости, как читать результаты SAST, DAST, IAST и SCA и что делать с найденными проблемами.
- ИБ и AppSec-специалистам: подключаться к безопасности раньше релиза и внедрять понятные проверки для DevOps и разработки.
- Архитекторам и тимлидам: видеть, где в процессе разработки, CI/CD и релизах нужны контрольные точки безопасности.
- Тестировщикам с технической базой: перейти от функциональных проверок к поиску уязвимостей, OWASP и security testing.
Необходимые знания
- Обязательно: Git, базовое понимание CI/CD, опыт с GitLab или Jenkins, настройка окружений и автоматизация на базовом уровне.
- Будет плюсом: опыт с Linux, Docker, Kubernetes, веб-приложениями и API.
- Не требуется: опыт DevSecOps-инженера или пентестера. Если не хватает базы по ИБ, начните с курса «Информационная безопасность. Базовый уровень».
Что вам даст этот курс?
Курс помогает перейти от проверки безопасности в конце релиза к DevSecOps-подходу: проверки встроены в разработку, CI/CD и эксплуатацию.
Вы разберете, как находить уязвимости раньше, подключать ИБ-инструменты к пайплайну и выстраивать общий процесс между разработкой, DevOps и безопасностью.
Вы научитесь:
- анализировать уязвимости OWASP Top 10 для web и REST API;
- добавлять проверки безопасности в CI/CD;
- работать с SAST, DAST, IAST и SCA;
- настраивать security stages на примере GitLab CI;
- оценивать риски Docker-образов и Kubernetes-кластеров;
- применять WAF для защиты web-приложений и API;
- понимать роль SIEM/SOAR, PAM и ASOC в DevSecOps-процессе;
- подготовить план внедрения DevSecOps для учебного или рабочего кейса.
Актуальность DevSecOps
DevSecOps нужен командам, где релизы выходят часто, а безопасность нельзя оставлять только на финальную проверку.
Подход помогает находить уязвимости раньше, автоматизировать часть проверок и сделать безопасность общей задачей разработки, DevOps и ИБ.
Процесс обучения
Занятия проходят онлайн в формате живых вебинаров. Предзаписанных уроков нет: вы учитесь вместе с группой, задаете вопросы и разбираете практические примеры.
- На занятиях: разбираете подходы DevSecOps, инструменты безопасности и типовые ошибки внедрения.
- На практике: выполняете задания по OWASP, CI/CD, GitLab CI, SAST, Docker, Kubernetes и WAF.
- После вебинаров: получаете записи и материалы, чтобы вернуться к сложным темам.
- В финале курса: готовите проектную работу и защищаете ее перед преподавателем.
Практикуйтесь
Выполняйте задания по OWASP, GitLab CI, SAST, Docker, Kubernetes и WAF. Так вы увидите, где проверки безопасности встраиваются в пайплайн.
Получайте обратную связь
Задавайте вопросы на занятиях и в чате курса. Преподаватели помогут разобрать ошибки, домашние задания и практические кейсы.
Готовьте проект
В финале курса подготовите проект по внедрению DevSecOps или анализу приложения на уязвимости и защитите его перед преподавателем.
Карьерная поддержка
Курс помогает показать DevSecOps-навыки предметно: через итоговый проект, домашние задания и опыт работы с CI/CD, OWASP, SAST, DAST, Docker, Kubernetes и WAF. После обучения вы можете разместить резюме в базе OTUS. Партнеры могут связаться с вами, если ваш профиль подойдет под их запрос. Это не гарантия трудоустройства или собеседования.
- Проект для резюме: подготовите проект по внедрению DevSecOps или анализу приложения на уязвимости.
- Навыки для рабочих задач: разберете CI/CD, OWASP, SAST, DAST, Docker, Kubernetes и WAF.
- База резюме OTUS: сможете добавить профиль в базу, доступную партнерам OTUS.
* Информация в этом разделе не предназначена для корпоративного обучения
DevSecOps / AppSec
Перспективы направления
Средний уровень зарплат:
200 000 ₽Junior+
специалист
229 000 ₽Middle+
специалист
245 000 ₽Senior
специалист
47
актуальных вакансий
Формат обучения
Живые вебинары
Занятия проходят онлайн 2 раза в неделю. На вебинарах преподаватели разбирают темы курса, показывают практические примеры и отвечают на вопросы группы.
Практические задания
Вы выполняете домашние задания по DevSecOps-инструментам и подходам: от OWASP и CI/CD до Docker, Kubernetes, WAF и анализа уязвимостей.
Чат и обратная связь
Вопросы можно задавать на занятиях и в чате курса. Преподаватели дают обратную связь по заданиям и помогают разобраться со сложными темами.
Программа
Базис знаний информационной безопасности
В этом модуле будут рассмотрены основополагающие моменты ИБ. Поговорим о стандартах ИБ и принципах обеспечения ИБ как процесса.
Тема 1: Введение в курс. Термины, стандарты и методики ИБ
Тема 2: Введение в РБПО
Тема 3: Нормативно-правовые акты РБПО
Тема 4: Основные принципы обеспечения информационной безопасности стека приложений и инфраструктуры
Обзор уязвимостей OWASP
Изучим и обсудим классификацию уязвимостей по методологии OWASP.
Тема 1: Разбор уязвимостей OWASP Top 10 Web // ДЗ
Тема 2: Разбор уязвимостей OWASP Top 10 - REST API // ДЗ
Построение CI/CD с контролями РБПО
В данном разделе вы освоите построение безопасного конвейера непрерывной интеграции и поставки с учётом требований регуляторов и практик информационной безопасности.
Тема 1: Обеспечение безопасности CI/CD тулчейна и DevOps процесса // ДЗ
Тема 2: Обзор DevSecOps инструментария // ДЗ
Тема 3: Анализ исходного кода на безопасность (SAST/ DAST/IAST) // ДЗ
Особенности разработки безопасного кода и использования фреймворков
Рассмотрим уязвимости в исходном коде. Рассмотрим также, почему важно не полагаться на сторонние средства безопасности. Обсудим влияние кода на конечный продукт.
Тема 1: Безопасная разработка в HTML/CSS и PHP // ДЗ
Тема 2: Безопасная разработка в Java/Node.js // ДЗ
Тема 3: Безопасная разработка в .NET
Тема 4: Безопасная разработка в Python // ДЗ
Тема 5: Безопасная разработка и уязвимости программного кода // ДЗ
Тема 6: Безопасная разработка в Ruby // ДЗ
Тема 7: Безопасная разработка Kotlin
Тема 8: Q&A. Сессия вопросов и ответов
Разработка безопасных контейнерных и serverless приложений
Рассмотрим контейнеры — best practices современной разработки. Поговорим о безопасности контейнерных сред.
Тема 1: Обеспечение безопасности в ОС Linux
Тема 2: Введение в Docker
Тема 3: Работа с данными и сетями в Docker
Тема 4: Сборка и оптимизация Docker-образов
Тема 5: Обеспечение безопасности в Docker контейнерах // ДЗ
Тема 6: Основные компоненты Kubernetes // ДЗ
Тема 7: Kubernetes. Практика
Тема 8: Обеспечение безопасности в Kubernetes // ДЗ
Тема 9: Обеспечение безопасности ОС Windows
Интеграция и работа с инструментами ИБ в рамках DevSecOps
Рассмотрим безопасность разработки, ее роль в процессе. Обсудим роль специалиста ИБ в процессе разработки.
Тема 1: Применение защиты для REST-API внутри микро-сервисных приложений и на back-end // ДЗ
Тема 2: Применение Web-Application Firewall (WAF) для защиты Web, REST API, Bot protection // ДЗ
Тема 3: Q&A. Сессия вопросов и ответов
Тема 4: Современные средства периметральной безопасности сети (NGFW/Sandbox) // ДЗ
Тема 5: Средства обнаружения действий внутреннего нарушителя (PAM и другие решения)
Тема 6: Инструменты для мониторинга событий ИБ (SIEM / SOAR) и обработки результатов проверок (ASOC) // ДЗ
Тема 7: Моделирование угроз и тестирование на проникновение // ДЗ
Тема 8: Ручное и автоматизированное тестирование на проникновение (Penetration Testing)
Тема 9: План проекта и методика трансформации организации в DevSecOps
Soft Skills
В данном модуле будут рассмотрены навыки межличностного общения, коммуникации и управления.
Тема 1: Soft skills
Проектный модуль
Проектный модуль — время для реализации своего проекта. Заключительный этап большого пути перед выходом в мир
Тема 1: Выбор темы и организация проектной работы // Проект
Тема 2: Консультации и обсуждения проектной работы
Тема 3: Защита проектов
Также вы можете получить полную программу, чтобы убедиться, что обучение вам подходит
Проектная работа
Заключительный месяц курса посвящен проектной работе: можете использовать собственный бизнес-кейс или взять учебную задачу. Чтобы получить свидетельство о повышении квалификации, вы защитите проект перед преподавателем
Примеры выпускных проектов - читайте в нашем блоге:
Преподаватели
Эксперты-практики делятся опытом, разбирают кейсы студентов и дают развернутый фидбэк на домашние задания
Ближайшие мероприятия
Бесплатный открытый вебинар – онлайн-занятие с преподавателем курса. На открытом вебинаре можно посмотреть, как проходит обучение, а ещё – узнать что-то ценное по интересующей теме. На занятии слушатели могут задавать ведущему вопросы
Какие результаты должен давать DevSecOps-проект бизнесу и команде
Сергей Терешин
Почему тема важна?
DevSecOps ценен не набором сканеров, а снижением рисков без остановки разработки. Разберём, какой результат нужен бизнесу и команде.
Описание:
DevSecOps-проект не должен заканчиваться подключением нескольких инструментов безопасности и набором отчетов, с которыми команда не понимает, что делать дальше.
На открытом уроке разберём, как связать угрозы цифрового продукта с реальными рисками для бизнеса, определить приоритетные меры защиты и превратить результаты анализа в понятный план действий для разработки, эксплуатации и информационной безопасности.
На сквозном примере построим упрощённую модель угроз и посмотрим, какие практические результаты должен получить бизнес от внедрения DevSecOps.
Открытый урок проходит в рамках курса «Внедрение и работа в DevSecOps».
О чём поговорим:
- Разберём, почему результат DevSecOps-проекта измеряется не количеством внедрённых инструментов, а снижением критичных рисков для продукта и бизнеса.
- Определим активы, точки атаки и возможные сценарии угроз для цифрового продукта.
- Построим упрощённую модель угроз с учётом архитектуры, процессов разработки и рисков цифровизации.
- Переведём выявленные угрозы в приоритизированный список технических и организационных мер.
- Обсудим, какие артефакты должна получить команда: модель угроз, реестр рисков, план контролей, зоны ответственности и критерии эффективности.
Кому будет полезно:
DevOps- и SRE-инженерам, специалистам AppSec и информационной безопасности, архитекторам, тимлидам и руководителям разработки, которые участвуют во внедрении безопасной разработки и хотят связать технические меры защиты с задачами продукта и бизнеса.
DevSecOps ценен не набором сканеров, а снижением рисков без остановки разработки. Разберём, какой результат нужен бизнесу и команде.
Описание:
DevSecOps-проект не должен заканчиваться подключением нескольких инструментов безопасности и набором отчетов, с которыми команда не понимает, что делать дальше.
На открытом уроке разберём, как связать угрозы цифрового продукта с реальными рисками для бизнеса, определить приоритетные меры защиты и превратить результаты анализа в понятный план действий для разработки, эксплуатации и информационной безопасности.
На сквозном примере построим упрощённую модель угроз и посмотрим, какие практические результаты должен получить бизнес от внедрения DevSecOps.
Открытый урок проходит в рамках курса «Внедрение и работа в DevSecOps».
О чём поговорим:
- Разберём, почему результат DevSecOps-проекта измеряется не количеством внедрённых инструментов, а снижением критичных рисков для продукта и бизнеса.
- Определим активы, точки атаки и возможные сценарии угроз для цифрового продукта.
- Построим упрощённую модель угроз с учётом архитектуры, процессов разработки и рисков цифровизации.
- Переведём выявленные угрозы в приоритизированный список технических и организационных мер.
- Обсудим, какие артефакты должна получить команда: модель угроз, реестр рисков, план контролей, зоны ответственности и критерии эффективности.
Кому будет полезно:
DevOps- и SRE-инженерам, специалистам AppSec и информационной безопасности, архитекторам, тимлидам и руководителям разработки, которые участвуют во внедрении безопасной разработки и хотят связать технические меры защиты с задачами продукта и бизнеса.
3 августа в 17:00
Открытый вебинар
Безопасный релиз на практике: SAST, SCA, контейнеры и security gates
Максим Чащин
Почему тема важна?
Проверки безопасности часто подключают формально. Разберем, как встроить их в CI/CD, чтобы уязвимый код и образы не дошли до релиза.
Описание
На открытом уроке разберем практический сценарий безопасного релиза: встроим автоматические проверки в CI/CD-пайплайн и посмотрим, как они влияют на решение о выпуске продукта.
На примере Semgrep, OWASP Dependency-Check и Trivy проверим исходный код, сторонние зависимости и контейнерный образ. Разберём результаты сканирования и настроим security gates, которые смогут остановить pipeline при обнаружении критичных проблем.
Открытый урок проходит в рамках курса «Внедрение и работа в DevSecOps».
О чем поговорим
- Разберем, на каких этапах CI/CD-пайплайна следует запускать SAST, SCA и проверку контейнерных образов.
- Подключим Semgrep для анализа исходного кода, OWASP Dependency-Check для проверки зависимостей и Trivy для сканирования контейнеров.
- Посмотрим, какие результаты выдают инструменты и как определить, какие находки действительно требуют реакции.
- Настроим условия прохождения pipeline и security gates, блокирующие релиз при критичных уязвимостях.
- Проверим весь сценарий на практике: от запуска автоматических проверок до остановки небезопасного релиза.
Кому будет полезно
DevOps- и SRE-инженерам, backend-разработчикам, специалистам AppSec и информационной безопасности, а также platform-инженерам, которые уже работают с CI/CD и хотят встроить автоматические проверки безопасности в процесс релиза.
Проверки безопасности часто подключают формально. Разберем, как встроить их в CI/CD, чтобы уязвимый код и образы не дошли до релиза.
Описание
На открытом уроке разберем практический сценарий безопасного релиза: встроим автоматические проверки в CI/CD-пайплайн и посмотрим, как они влияют на решение о выпуске продукта.
На примере Semgrep, OWASP Dependency-Check и Trivy проверим исходный код, сторонние зависимости и контейнерный образ. Разберём результаты сканирования и настроим security gates, которые смогут остановить pipeline при обнаружении критичных проблем.
Открытый урок проходит в рамках курса «Внедрение и работа в DevSecOps».
О чем поговорим
- Разберем, на каких этапах CI/CD-пайплайна следует запускать SAST, SCA и проверку контейнерных образов.
- Подключим Semgrep для анализа исходного кода, OWASP Dependency-Check для проверки зависимостей и Trivy для сканирования контейнеров.
- Посмотрим, какие результаты выдают инструменты и как определить, какие находки действительно требуют реакции.
- Настроим условия прохождения pipeline и security gates, блокирующие релиз при критичных уязвимостях.
- Проверим весь сценарий на практике: от запуска автоматических проверок до остановки небезопасного релиза.
Кому будет полезно
DevOps- и SRE-инженерам, backend-разработчикам, специалистам AppSec и информационной безопасности, а также platform-инженерам, которые уже работают с CI/CD и хотят встроить автоматические проверки безопасности в процесс релиза.
18 августа в 17:00
Открытый вебинар
Прошедшие
мероприятия
Сергей Терешин
Открытый вебинар
DevSecMLOps: как безопасно внедрять ИИ в процессы разработки и эксплуатации
Максим Чащин
Открытый вебинар
Планируем внедрение DevSecOps — что следует учесть?
Для доступа ко всем прошедшим мероприятиям необходимо пройти входное тестирование
Возможность пройти вступительное тестирование повторно появится только через 3 дня
Результаты тестирования будут отправлены вам на email, указанный при регистрации.
Тест рассчитан на 30 минут, после начала тестирования отложить тестирование не получится!
Возможность пройти вступительное тестирование повторно появится только через 3 дня
Результаты тестирования будут отправлены вам на email, указанный при регистрации.
Тест рассчитан на 30 минут, после начала тестирования отложить тестирование не получится!
Этот курс может оплатить ваш работодатель
Обучайтесь за счёт работодателя или разделите оплату 50/50
- Подробно расскажем об интересующем вас курсе
- Объясним, как договориться с работодателем
- Сообщим стоимость обучения и варианты оплаты
- Ответим на вопросы
- Предоставим шаблон договора и счёт на оплату
Отзывы
Подтверждение знаний и навыков
OTUS занимается лицензированной образовательной деятельностью. В конце обучения вы получите свидетельство о повышении квалификации
После обучения вы:
- получите доступ к обучающим материалам: видеозаписям вебинаров, презентациям к занятиям
- получите свидетельство о повышении квалификации и сертификат OTUS об окончании курса
- повысите собственную конкурентоспособность
Внедрение и работа в DevSecOps
В рассрочку
Полная
Компаниям
Стоимость в рассрочку
от 11 250 ₽/мес
Доступные способы оплаты.
Стоимость указана для оплаты физическими лицами
Стоимость указана для оплаты физическими лицами
Верните с помощью налогового
вычета до 13% стоимости обучения. Пройдите тестирование и менеджер вас проконсультирует
вычета до 13% стоимости обучения. Пройдите тестирование и менеджер вас проконсультирует
Есть вопросы? Позвоните!
+7 499 938-92-02 бесплатно
+7 499 938-92-02 бесплатно
Пройдите тестирование
Старт занятий 31 августа
Доступные способы оплаты.
Стоимость указана для оплаты физическими лицами
Стоимость указана для оплаты физическими лицами
Верните с помощью налогового
вычета до 13% стоимости обучения. Пройдите тестирование и менеджер вас проконсультирует
вычета до 13% стоимости обучения. Пройдите тестирование и менеджер вас проконсультирует
Есть вопросы? Позвоните!
+7 499 938-92-02 бесплатно
+7 499 938-92-02 бесплатно
Частые вопросы
Подойдет ли курс, если я не работал DevSecOps-инженером?
Да, если у вас уже есть опыт в DevOps, разработке, ИБ, администрировании, архитектуре или тестировании. На входе важно понимать Git, CI/CD и базовую автоматизацию.
Если не хватает общей базы по информационной безопасности, сначала лучше пройти курс «Информационная безопасность. Базовый уровень». Если слабое место именно Linux, подойдет курс «Администратор Linux. Базовый уровень».
Чем этот курс отличается от обычного DevOps-курса?
Обычный DevOps-курс, например «DevOps практики и инструменты», фокусируется на автоматизации сборки, тестирования, поставки и эксплуатации.
В этом курсе акцент на безопасности процесса разработки: OWASP, SAST, DAST, IAST, SCA, поиск секретов, защита Docker и Kubernetes, WAF, SIEM/SOAR и контроль уязвимостей в CI/CD.
Нужен ли опыт в информационной безопасности?
Глубокий опыт в ИБ не обязателен, но базовое понимание уязвимостей, сетей и веб-приложений поможет учиться комфортнее.
Курс рассчитан на специалистов, которые уже работают в IT и хотят связать разработку, эксплуатацию и безопасность. Если базы по ИБ пока нет, начните с курса «Информационная безопасность. Базовый уровень».
Будет ли практика с GitLab CI, Docker и Kubernetes?
Да. В программе есть secure pipeline на примере GitLab CI, задания по Docker, Kubernetes, SAST, REST API, WAF, ASOC и анализу сетевого периметра.
Если вы почти не работали с пайплайнами и GitLab CI, перед стартом можно пройти курс «CI/CD на основе GitLab».
Какой итоговый проект я подготовлю?
Вы подготовите проект по внедрению DevSecOps или анализу приложения на уязвимости.
В проекте нужно описать цели, план работ, инструменты, архитектуру или схему решения и выводы. Собственный рабочий кейс можно использовать только без конфиденциальных данных.
Курс подойдет разработчику, если я не администрирую инфраструктуру?
Да, если вы хотите лучше понимать безопасную разработку, OWASP, результаты SAST, DAST, IAST и требования ИБ к релизу.
Но часть программы связана с CI/CD, Docker и Kubernetes, поэтому базовое понимание инфраструктуры будет полезно. Если не хватает Linux, посмотрите курс «Администратор Linux. Базовый уровень». Если не хватает CI/CD, подойдет курс «CI/CD на основе GitLab».
Курс поможет перейти в пентест?
Курс включает темы уязвимостей, OWASP и тестирования на проникновение, но это не курс по пентесту.
Главная задача курса: показать, как встроить безопасность в процесс разработки и эксплуатации. Если ваша цель именно пентест, лучше выбрать курс «Пентест. Инструменты и методы проникновения в действии».
Сколько времени нужно закладывать на обучение?
Занятия проходят 2 раза в неделю. Дополнительно нужно время на домашние задания и проект.
Нагрузка зависит от опыта: если вы давно работаете с CI/CD, Docker и Kubernetes, будет проще. Если эти темы новые, лучше заложить больше времени на практику.