Curso de SonarQube para SDLC Seguro e Azure DevOps

1. Conceitos e Âmbito da Análise Estática de Código

• Definições: análise estática, SAST, categorias de regras e gravidade
• Âmbito da análise estática no SDLC seguro e cobertura de riscos
• Como o SonarQube se integra nos controlos de segurança e fluxos de trabalho do desenvolvedor

2. Visão Geral do SonarQube: Funcionalidades e Arquitetura

• Serviços principais, base de dados e componentes do scanner
• Portas de Qualidade (Quality Gates), Perfis de Qualidade (Quality Profiles) e boas práticas
• Funcionalidades relacionadas com a segurança: vulnerabilidades, regras SAST e mapeamento CWE

3. Navegação e Utilização da Interface do Servidor SonarQube

• Visita à interface do servidor: projetos, problemas, regras, medições e vistas de governança
• Interpretação de páginas de problemas, rastreabilidade e orientação para remediação
• Geração de relatórios e opções de exportação

4. Configuração do SonarScanner com Ferramentas de Build

• Definição do SonarScanner para Maven, Gradle, Ant e MSBuild
• Boas práticas para propriedades do scanner, exclusões e projetos multi-módulo
• Geração de dados de teste necessários e relatórios de cobertura para análise precisa

5. Integração com o Azure DevOps

• Configuração de ligações de serviço SonarQube no Azure DevOps
• Adição de tarefas SonarQube aos Azure Pipelines e decoração de PRs (Pull Requests)
• Importação de repositórios Azure para o SonarQube e automação de análises

6. Configuração de Projetos e Analisadores de Terceiros

• Perfis de Qualidade a nível de projeto e seleção de regras para Java e Angular
• Trabalho com analisadores de terceiros e ciclo de vida de plugins
• Definição de parâmetros de análise e herança de parâmetros

7. Papéis, Responsabilidades e Revisão da Metodologia de Desenvolvimento Seguro

• Segregação de papéis: desenvolvedores, revisores, DevOps, responsáveis pela segurança
• Construção de uma matriz de papéis & responsabilidades para processos CI/CD
• Processo de revisão e recomendação para uma metodologia de desenvolvimento seguro existente

8. Avançado: Adição de Regras, Ajustes e Melhoria das Funcionalidades Globais de Segurança

• Utilização da API Web do SonarQube para adicionar e gerir regras personalizadas
• Ajuste das Portas de Qualidade e aplicação automatizada de políticas
• Reforço da segurança do servidor SonarQube e boas práticas de controlo de acesso

9. Sessões de Laboratório Prático (Aplicado)

• Laboratório A: Configurar o SonarScanner para 5 repositórios Java (Quarkus quando aplicável) e analisar resultados
• Laboratório B: Configurar análise Sonar para 1 front-end Angular e interpretar conclusões
• Laboratório C: Laboratório de pipeline completo—integrar SonarQube com um pipeline Azure DevOps e ativar decoração de PRs

10. Testes, Resolução de Problemas e Interpretação de Relatórios

• Estratégias para geração de dados de teste e medição de cobertura
• Problemas comuns e resolução de erros de scanner, pipeline e permissões
• Como ler e apresentar relatórios do SonarQube a partes interessadas técnicas e não técnicas

11. Boas Práticas e Recomendações

• Seleção de conjuntos de regras e estratégias de aplicação incremental
• Recomendações de fluxos de trabalho para desenvolvedores, revisores e pipelines de build
• Roteiro para a escalabilidade do SonarQube em ambientes empresariais

Resumo e Próximos Passos