안전한 SDLC 및 Azure DevOps를 위한 SonarQube 교육 과정

1. 정적 코드 분석의 개념 및 범위

• 정의: 정적 분석, SAST, 룰 카테고리 및 심각도
• 안전한 SDLC 및 리스크 커버리지 내 정적 분석의 범위
• 보안 통제 및 개발자 워크플로에 SonarQube가 어떻게 적용되는지

2. SonarQube 개요: 기능 및 아키텍처

• 핵심 서비스, 데이터베이스, 스캐너 구성 요소
• 품질 게이트, 품질 프로필, 품질 게이트 베스트 프랙티스
• 보안 관련 기능: 취약점, SAST 룰, CWE 매핑

3. SonarQube 서버 UI 탐색 및 사용

• 서버 UI 투어: 프로젝트, 이슈, 룰, 측정치, 거버넌스 뷰
• 이슈 페이지 해석, 추적 가능성, 수정 가이드
• 리포트 생성 및 내보내기 옵션

4. 빌드 도구를 사용한 SonarScanner 구성

• Maven, Gradle, Ant, MSBuild를 위한 SonarScanner 설정
• 스캐너 프로퍼티, 제외 항목, 멀티 모듈 프로젝트에 대한 베스트 프랙티스
• 정확한 분석을 위한 필요한 테스트 데이터 및 커버리지 리포트 생성

5. Azure DevOps 통합

• Azure DevOps에서 SonarQube 서비스 연결 구성
• Azure Pipelines에 SonarQube 태스크 추가 및 PR 데코레이션
• Azure Repos를 SonarQube에 가져오고 분석 자동화

6. 프로젝트 구성 및 서드파티 분석기

• Java 및 Angular를 위한 프로젝트 레벨 품질 프로필 및 룰 선택
• 서드파티 분석기 및 플러그인 라이프사이클 작업
• 분석 매개변수 및 매개변수 상속 정의

7. 역할, 책임 및 안전한 개발 방법론 검토

• 역할 분리: 개발자, 리뷰어, DevOps, 보안 소유자
• CI/CD 프로세스를 위한 역할 및 책임 매트릭스 구축
• 기존 안전한 개발 방법론의 검토 및 권장 사항

8. 고급: 룰 추가, 조정 및 전역 보안 기능 강화

• SonarQube Web API를 사용하여 사용자 지정 룰 추가 및 관리
• 품질 게이트 조정 및 자동화된 정책 적용
• SonarQube 서버 보안 강화 및 액세스 통제 베스트 프랙티스

9. 실습 랩 세션 (적용)

• Lab A: Java 저장소 5개(적용 가능한 경우 Quarkus 포함)에 대해 SonarScanner 구성 및 결과 분석
• Lab B: Angular 프론트엔드 1개에 대해 Sonar 분석 구성 및 결과 해석
• Lab C: 전체 파이프라인 랩—Azure DevOps 파이프라인에 SonarQube 통합 및 PR 데코레이션 활성화

10. 테스트, 문제 해결 및 리포트 해석

• 테스트 데이터 생성 및 커버리지 측정 전략
• 스캐너, 파이프라인, 권한 오류의 일반적 문제 및 문제 해결
• 기술적 및 비기술적 이해관계자에게 SonarQube 리포트를 읽고 제시하는 방법

11. 베스트 프랙티스 및 권장 사항

• 룰셋 선택 및 점진적 적용 전략
• 개발자, 리뷰어, 빌드 파이프라인을 위한 워크플로 권장 사항
• 엔터프라이즈 환경에서 SonarQube 확장 로드맵

요약 및 다음 단계