Curso de SonarQube para SDLC seguro e Azure DevOps

1. Conceitos e Escopo da Análise Estática de Código

• Definições: análise estática, SAST, categorias de regras e severidade
• Escopo da análise estática no SDLC seguro e cobertura de riscos
• Como o SonarQube se encaixa nos controles de segurança e nos fluxos de trabalho dos desenvolvedores

2. Visão Geral do SonarQube: Recursos e Arquitetura

• Serviços principais, banco de dados e componentes do scanner
• Portões de Qualidade, Perfis de Qualidade e melhores práticas de Portões de Qualidade
• Recursos relacionados à segurança: vulnerabilidades, regras SAST e mapeamento CWE

3. Navegação e Uso da Interface do Usuário do Servidor SonarQube

• Tour pela interface do usuário do servidor: projetos, problemas, regras, métricas e visões de governança
• Interpretação de páginas de problemas, rastreabilidade e orientações para correção
• Gereração de relatórios e opções de exportação

4. Configuração do SonarScanner com Ferramentas de Build

• Configuração do SonarScanner para Maven, Gradle, Ant e MSBuild
• Boas práticas para propriedades do scanner, exclusões e projetos multi-módulo
• Geração de dados de teste necessários e relatórios de cobertura para uma análise precisa

5. Integração com o Azure DevOps

• Configuração de conexões de serviço do SonarQube no Azure DevOps
• Adição de tarefas do SonarQube aos Azure Pipelines e decoração de PRs (Pull Requests)
• Importação de Repos do Azure para o SonarQube e automação de análises

6. Configuração de Projetos e Analisadores de Terceiros

• Perfis de Qualidade em nível de projeto e seleção de regras para Java e Angular
• Trabalho com analisadores de terceiros e ciclo de vida de plugins
• Definição de parâmetros de análise e herança de parâmetros

7. Papéis, Responsabilidades e Revisão da Metodologia de Desenvolvimento Seguro

• Segregação de papéis: desenvolvedores, revisores, DevOps, donos de segurança
• Construção de uma matriz de papéis e responsabilidades para processos de CI/CD
• Revisão e processo de recomendação para uma metodologia de desenvolvimento seguro existente

8. Avançado: Adição de Regras, Ajustes e Melhoria de Recursos Globais de Segurança

• Uso da API Web do SonarQube para adicionar e gerenciar regras personalizadas
• Ajuste de Portões de Qualidade e aplicação automatizada de políticas
• Fortalecimento da segurança do servidor SonarQube e boas práticas de controle de acesso

9. Sessões de Laboratório Prático (Aplicado)

• Lab A: Configurar SonarScanner para 5 repositórios Java (Quarkus quando aplicável) e analisar resultados
• Lab B: Configurar análise Sonar para 1 front-end Angular e interpretar achados
• Lab C: Laboratório de pipeline completo — integrar SonarQube a um pipeline do Azure DevOps e ativar decoração de PRs

10. Testes, Solução de Problemas e Interpretação de Relatórios

• Estratégias para geração de dados de teste e medição de cobertura
• Problemas comuns e solução de erros de scanner, pipeline e permissões
• Como ler e apresentar relatórios do SonarQube a partes interessadas técnicas e não técnicas

11. Boas Práticas e Recomendações

• Seleção de conjuntos de regras e estratégias de aplicação incremental
• Recomendações de fluxo de trabalho para desenvolvedores, revisores e pipelines de build
• Roadmap para escalar o SonarQube em ambientes empresariais

Resumo e Próximos Passos