DevSecOps in Practice

Section 1: DevSecOps และแนวคิด Shift-left

• ทำไมการตรวจความปลอดภัยตอนท้ายโปรเจกต์จึงไม่ทันการส่งงานแบบ CI/CD

• แนวคิด Shift-left และความรับผิดชอบร่วมของทีม Dev, Ops และ Security

• ภาพรวมการตรวจแต่ละแบบ: Secret, SAST, SCA, Image, IaC และ DAST

• OWASP Top 10 และความเสี่ยงของ Software Supply Chain ที่ต้องรู้

• วัดความพร้อมของทีมและวางแผนนำ DevSecOps เข้าไปทีละขั้น

Section 2: Workshop: Threat Modeling เบื้องต้น

• Threat Modeling คืออะไร และควรทำเมื่อไรในวงจรการพัฒนา

• วาด Data Flow Diagram ของระบบและหาขอบเขตความเชื่อถือ

• ระบุภัยคุกคามด้วยกรอบ STRIDE

• จัดลำดับความเสี่ยงและเลือกการตรวจที่ตอบโจทย์แต่ละความเสี่ยง

• Workshop: ทำ Threat Model ของแอปตัวอย่างที่ใช้ตลอดหลักสูตร

Section 3: Lab: วาง GitLab CI Pipeline ต้นแบบ

• โครงสร้าง .gitlab-ci.yml: Stage, Job, Rule และ Artifact

• ติดตั้ง GitLab Runner และรัน Pipeline สำหรับ Build และ Test

• ออกแบบลำดับ Stage ให้มีที่วางการตรวจความปลอดภัยแต่ละแบบ

• จัดการ Variable และ Secret ของ Pipeline ให้ปลอดภัย

• แนวทางปรับใช้แนวคิดเดียวกันกับ Jenkins

Section 4: Lab: ตรวจหา Secret ที่หลุดด้วย Gitleaks

• Secret ที่มักหลุดไปกับโค้ด เช่น API Key, Token และ Password

• สแกนประวัติ Git ทั้งหมดด้วย Gitleaks และอ่านผลลัพธ์

• ติดตั้ง Pre-commit Hook เพื่อกันตั้งแต่ก่อน Commit

• เพิ่ม Job ตรวจ Secret ใน Pipeline และจัดการ False Positive

• ขั้นตอนรับมือเมื่อ Secret หลุด: เพิกถอน เปลี่ยนใหม่ และล้างประวัติ

Section 5: Lab: SAST ด้วย SonarQube

• SAST ทำงานอย่างไร จุดแข็ง และข้อจำกัด

• ติดตั้ง SonarQube ด้วย Docker และเชื่อมกับโปรเจกต์

• อ่านผล Vulnerability, Security Hotspot และ Code Smell

• ตั้ง Quality Gate และแสดงผลใน Merge Request

• Lab: แก้ช่องโหว่ SQL Injection และ XSS ที่ SonarQube พบ

Section 6: Lab: Dependency และ SCA

• ความเสี่ยงจาก Open Source Library และ Transitive Dependency

• สแกน Dependency ของโปรเจกต์ด้วย Trivy แบบ Filesystem

• อ่านค่า CVE, CVSS และจัดลำดับการแก้ตามความเสี่ยงจริง

• ตรวจ License ของ Library ที่อาจขัดกับนโยบายองค์กร

• ใช้ Lock File และระบบอัปเดต Dependency อัตโนมัติ

Section 7: Lab: สแกน Container Image ด้วย Trivy

• ช่องโหว่ที่มากับ Base Image และแพ็กเกจในระบบปฏิบัติการ

• สแกน Image ใน Pipeline ก่อน Push ขึ้น Registry

• เขียน Dockerfile ให้ปลอดภัย: Minimal Base Image, Non-root User และ Multi-stage Build

• จัดการช่องโหว่ที่ยังไม่มีแพตช์ด้วยไฟล์ Ignore อย่างมีเหตุผล

• Lab: ลดช่องโหว่ของ Image แอปตัวอย่างแล้วเทียบผลก่อนและหลัง

Section 8: Lab: IaC Scanning

• ความผิดพลาดที่พบบ่อยใน Terraform, Kubernetes Manifest และ Dockerfile

• สแกน Misconfiguration ด้วย Trivy แบบ Config

• อ่านผลลัพธ์และแก้ไขตามแนวทางของแต่ละกฎ

• เพิ่ม Job ตรวจ IaC ใน Merge Request ก่อน Deploy

• Lab: แก้ Kubernetes Manifest ที่รันด้วยสิทธิ์สูงเกินจำเป็น

Section 9: Lab: SBOM และการเซ็น Container Image

• SBOM คืออะไร และรูปแบบ SPDX กับ CycloneDX

• สร้าง SBOM ของ Image ด้วย Syft และใช้ตรวจช่องโหว่ย้อนหลัง

• เซ็น Image ด้วย cosign และแนบ SBOM เป็น Attestation

• ตรวจลายเซ็นก่อน Deploy เพื่อยืนยันที่มาของ Image

• ภาพรวมแนวคิด SLSA สำหรับยกระดับความน่าเชื่อถือของ Build

Section 10: Lab: DAST ด้วย OWASP ZAP

• DAST ต่างจาก SAST อย่างไร และควรรันที่ขั้นไหนของ Pipeline

• รัน ZAP Baseline Scan กับแอปที่ Deploy ใน Environment ทดสอบ

• สแกน API จาก OpenAPI Specification

• ปรับ Rule ของ ZAP และจัดการ False Positive

• Lab: ตรวจหาและแก้ Security Header และ Cookie ที่ตั้งค่าไม่ปลอดภัย

Section 11: Lab: Security Gate และการจัดการผลการสแกน

• กำหนดเกณฑ์ว่าเมื่อไร Pipeline ควรหยุด และเมื่อไรแค่แจ้งเตือน

• รวมผลการสแกนหลายเครื่องมือไว้ที่เดียวและลดผลซ้ำซ้อน

• จัดการข้อยกเว้นอย่างมีเจ้าของและวันหมดอายุ

• ให้ Feedback กับนักพัฒนาใน Merge Request โดยไม่ถ่วงความเร็วทีม

• Lab: ตั้ง Security Gate ของ Pipeline แอปตัวอย่าง

Section 12: Lab: Kubernetes RBAC และ Pod Security

• พื้นผิวการโจมตีของ Kubernetes และสิ่งที่ต้องป้องกันก่อน

• RBAC: Role, ClusterRole, ServiceAccount และหลัก Least Privilege

• Pod Security Standards ระดับ Privileged, Baseline และ Restricted

• บังคับใช้ด้วย Pod Security Admission ระดับ Namespace

• Lab: ปรับ Deployment ให้ผ่านระดับ Restricted

Section 13: Lab: Network Policy และ Admission Control

• Network Policy แบบ Default Deny และเปิดเฉพาะการเชื่อมต่อที่จำเป็น

• จัดการ Secret บน Kubernetes และแนวทางใช้ External Secret Store

• Admission Control คืออะไร และการเขียน Policy ด้วย Kyverno

• บังคับให้ Deploy ได้เฉพาะ Image ที่เซ็นแล้วและมาจาก Registry ที่อนุญาต

• Lab: บล็อก Pod ที่ละเมิด Policy ขององค์กร

Section 14: Runtime Security และ Monitoring

• ทำไมการสแกนก่อน Deploy จึงยังไม่พอ

• ภาพรวม Runtime Detection ด้วย Falco และตัวอย่าง Rule

• เก็บ Audit Log ของ Kubernetes และส่งเข้าระบบ Monitoring

• ตัวชี้วัดของโปรแกรม DevSecOps และการรายงานต่อผู้บริหาร

• Lab: ตรวจจับการเปิด Shell เข้า Container ที่กำลังทำงาน

Section 15: Workshop: Capstone Secure Pipeline

• ออกแบบ Secure Pipeline ของแอปตัวอย่างจาก Threat Model ที่ทำไว้

• รวม Secret Detection, SAST, SCA, Image Scan, IaC Scan, SBOM และ DAST

• Deploy ขึ้น Kubernetes ที่บังคับใช้ Pod Security และ Admission Policy

• นำเสนอผล รีวิวร่วมกัน และวาง Roadmap สำหรับทีมของตนเอง

• สรุป Checklist DevSecOps สำหรับนำไปใช้ในองค์กร