Fundamentos de DevSecOps

Para quem é

• Software engineers entrando em segurança ou em engenharia de plataforma.
• Engenheiros de DevOps assumindo a parte de segurança de um time de plataforma.
• AppSec engineers buscando fundamento em fonte primária, sem material de fornecedor.
• Engineering managers construindo programa de DevSecOps com método.

O que você vai fazer

• Conecta um pipeline em GitHub Actions com SAST, SCA, container scan e IaC scan.
• Escreve uma política OPA para admission control no Kubernetes.
• Gerencia um SBOM real em CycloneDX, com inventário de dependência e licença.
• Implementa assinatura SLSA e attestation, com cadeia de proveniência auditável.
• Aplica DORA como métrica de saúde do programa, não como vaidade.
• Projeto final: pipeline endurecido de um repositório real com evidência de attestation.

Resultados

• Sai com um pipeline endurecido que serve como amostra de trabalho.
• Reduz tempo médio de remediação de vulnerabilidade no time atual.
• Defende decisões de tooling sem apelar a marketing de fornecedor.
• Credencial verificável da DecipherU vinculada ao pipeline entregue.

Currículo

1. Módulo 1: Shift-left e o Secure Software Development Framework do NIST 800-218.
2. Módulo 2: OWASP Top 10 (2021) e o ASVS aplicado em revisão de código.
3. Módulo 3: Integridade da cadeia de suprimento de software e SLSA.
4. Módulo 4: Análise de composição de software e gestão de dependência.
5. Módulo 5: Container security, hardening e admission control com OPA.
6. Módulo 6: Gestão de segredo e hardening de CI/CD.
7. Módulo 7: Projeto final, pipeline endurecido revisado pelo fundador.

Perguntas frequentes

Fontes primárias

NIST SP 800-218 SSDF. OWASP Top 10 (2021) e ASVS v4. SLSA v1.0. Pesquisa Accelerate e DORA. NIST SP 800-204D. CIS Controls v8. Especificações CycloneDX e SPDX SBOM.