GitHub Advanced Security (GHAS) joue un rôle essentiel dans le renforcement de la sécurité des projets de développement logiciel hébergés sur GitHub. Il fournit un ensemble complet d'outils et de fonctionnalités conçus pour identifier et corriger les vulnérabilités de sécurité tout au long du cycle de vie du développement. En intégrant directement la sécurité au processus de développement grâce à GHAS, votre équipe peut concevoir des logiciels plus sûrs et plus fiables. Ce cours explique comment exploiter GitHub Advanced Security afin d'optimiser la sécurité des développements, tout en comprenant son fonctionnement et son rôle dans l'écosystème de la sécurité.

Module 1 : Introduction à GitHub Advanced Security (GHAS)

• Définir GHAS et l'importance de ses fonctionnalités principales
• Comment utiliser GHAS pour maximiser son impact
• Comprendre GHAS et son rôle dans l'écosystème de la sécurité

Module 2 : Configurer les mises à jour de sécurité Dependabot sur votre dépôt GitHub

• Gérer vos dépendances dans GitHub
• Alertes Dependabot
• Mises à jour de sécurité Dependabot
• Gérer les notifications et les rapports Dependabot
• Révision des dépendances
• Exercice - Configurer les mises à jour de sécurité Dependabot

Module 3 : Configurer et utiliser l'analyse des secrets (secret scanning) dans votre dépôt GitHub

• Qu'est-ce que l'analyse des secrets (Secret Scanning) ?
• Configurer l'analyse des secrets (Secret Scanning)
• Utiliser l'analyse des secrets (Secret Scanning)

Module 4 : Configurer l'analyse du code (Code Scanning) dans GitHub

• Qu'est-ce que l'analyse du code (Code Scanning) ?
• Activer l'analyse du code avec des outils tiers
• Configurer l'analyse du code (Code Scanning)
• Exercice - Configurer l'analyse du code (Code Scanning)

Module 5 : Identifier les vulnérabilités de sécurité dans votre base de code à l'aide de CodeQL

• Préparer une base de données pour CodeQL
• Exécuter CodeQL dans une base de données
• Comprendre les résultats de CodeQL
• Résoudre les problèmes liés aux résultats de CodeQL

Module 6 : Analyse du code avec GitHub CodeQL

• Qu'est-ce que CodeQL ?
• Comment CodeQL analyse-t-il le code ?
• Qu'est-ce que le langage QL ?
• Analyse du code (Code Scanning) et CodeQL
• Personnaliser votre workflow d'analyse du code avec CodeQL - Partie 1
• Exercice - Référencer une requête CodeQL
• Personnaliser votre workflow d'analyse du code avec CodeQL - Partie 2
• Utiliser l'interface en ligne de commande (CLI) CodeQL
• Personnaliser les langages et les builds pour l'analyse du code
• Exercice - Configurer une matrice de langages CodeQL

Module 7 : Administration GitHub pour GitHub Advanced Security (GHAS)

• Qu'est-ce que GitHub Advanced Security ?
• Activer GitHub Advanced Security
• Gérer l'accès à GitHub Advanced Security
• Gérer les fonctionnalités et les alertes de GitHub Advanced Security

Module 8 : Gérer les données sensibles et les stratégies de sécurité dans GitHub

• Définir les stratégies de sécurité
• Créer et gérer les ensembles de règles de dépôt (repository rulesets)
• Rapports et journalisation

À l'issue de cette formation d'une journée, le stagiaire sera capable de :

• Comprendre le rôle de GitHub Advanced Security dans la sécurisation du cycle de développement logiciel
• Mettre en place une surveillance automatisée des dépendances vulnérables via Dependabot
• Détecter et traiter les secrets exposés dans un dépôt à l'aide du Secret Scanning
• Configurer et exploiter l'analyse de code, notamment via CodeQL, pour identifier des vulnérabilités dans une base de code
• Administrer les fonctionnalités GHAS et les droits d'accès associés au niveau organisation
• Définir des règles et stratégies de sécurité applicables aux dépôts (rulesets, gestion des données sensibles)

Ce cours s'adresse aux étudiants qui souhaitent comprendre et mettre en œuvre des pratiques de sécurité avancées à l'aide de GitHub Advanced Security (GHAS). Ils apprendront à renforcer significativement les processus de développement logiciel et à construire un écosystème de développement plus résilient et plus sécurisé grâce à des solutions pensées pour les développeurs, permettant de protéger le code, la chaîne d'approvisionnement logicielle (software supply chain) et les secrets avant toute mise en production.

Ils découvriront également comment GHAS offre aux équipes de sécurité une visibilité globale sur la posture de sécurité et la chaîne d'approvisionnement logicielle à l'échelle de l'organisation, tout en leur donnant accès à une veille de sécurité de premier plan, alimentée par des millions de développeurs et de chercheurs en sécurité à travers le monde.

Prérequis nécessaires :

• Connaissance de base de Git et GitHub (dépôts, commits, pull requests, workflow collaboratif)
• Notions générales de développement logiciel (cycle de vie, CI/CD)
• Aisance avec l'utilisation d'une ligne de commande

Prérequis non obligatoires mais recommandés :

• Expérience avec GitHub Actions (les workflows d'analyse de code s'appuient dessus)
• Sensibilisation générale aux enjeux de sécurité applicative (types de vulnérabilités courantes)
• Notions de base en administration d'organisation/dépôts GitHub (droits, rôles) pour tirer pleinement parti du module 7