Study Guide

Objective

Kurssin päätteeksi opiskelija tunnistaa nimeltä yleisimmät tietoturvaongelmat, sekä osaa kertoa keinoja, joilla nämä ongelmat voidaan korjata tai niiden syntyminen voidaan estää. Opiskelija pystyy tunnistamaan yksinkertaisesta lähdekoodista potentiaalisia tietoturvaongelmia, havainnollistaa niiden toiminnan käytännössä, sekä korjata ne. Opiskelija osaa toteuttaa DecSecOps -prosessimallin mukaisen testauksen. Opiskelija osaa testata ohjelmakoodin sisältämät avoimen lähdekoodin riippuvuudet ja niihin mahdollisesti sisältyvät haavoittuvuudet.

Oppimistavoitteet:
• Ymmärtää, miten DevSecOps voidaan integroida ohjelmistokehitysprosessiin.
• Harjoitella GitLabin CI/CD-pipelinejen rakentamista ja optimointia.
• Oppia tietoturvatyökalujen, kuten SAST-, DAST-, ja konttiskannausten, käyttämistä osana projektia.
• Kehittää ongelmanratkaisu- ja automaatio-osaamista käytännön harjoitusten kautta.

Content

Tarkat kurssin aihealueet vaihtelevat vuosittaisten kyberturvallisuuteen kohdistuvien tarpeiden mukaan, mutta käymme läpi tämänkaltaisia aiheita:

Projektin tarkoitus:
Tavoitteena on luoda GitLab-projekti, jossa harjoitellaan DevSecOps-periaatteita seuraavilla osa-alueilla:
1. Automaatiotyökalut ja CI/CD-putket: Kehitetään ja otetaan käyttöön CI/CD-pipeline, joka sisältää sekä kehityksen että tietoturvan tarkistukset.
2. Koodin tietoturva: Käytetään staattisen koodin analysointityökaluja (SAST) ja riippuvuuksien hallintaa (Dependency Scanning) tietoturvariskien tunnistamiseksi.
3. Docker-konttien tietoturva: Rakennetaan ja skannataan Docker-kontteja tietoturvaongelmien varalta.
4. Ylläpito ja monitorointi: Käytetään GitLabin monitorointi- ja auditointityökaluja turvallisuuden ja toiminnan valvontaan.

Location and time

Kajaanin amk:n luokkatilat ja Teams. Projektille varattu torstait ja perjantait 4. periodilla.

Materials

Ilmoitetaan kurssin alkaessa, kurssin opetusmateriaaleina käytetään toteutusajankohdan osaamisvaatimuksia tukevia materiaaleja.

Teaching methods

Luokka ja Teams-opetus, itsenäinen projektityöskentely.

Student workload

Kurssin laajuus 5 op.

Content scheduling

Projektin rakenne ja projektityön jaksotus
1. Projektin pystyttäminen:
• Luo uusi GitLab-projekti.
• Määritä projektin hakemistorakenne (esim. src/, tests/, docs/).
• Ota käyttöön GitLab CI/CD ja määritä peruspipeline .gitlab-ci.yml-tiedostolla.
2. Kehitysvaiheet:
• Koodin analysointi: Lisää SAST-työkaluja pipelineen (esim. GitLabin sisäänrakennettu SAST tai muita avoimen lähdekoodin vaihtoehtoja, kuten SonarQube).
• Riippuvuuksien hallinta: Lisää Dependency Scanning -työkalu CI/CD-pipelineen.
• Konttien skannaus: Luo Dockerfile, rakenna kontti ja lisää Container Scanning pipelineen.
• Dynaaminen analyysi (DAST): Lisää työkaluja sovelluksen dynaamiseen tietoturvatestaukseen (esim. OWASP ZAP).
3. Automaatiot ja integraatiot:
• Automatisoi testit, tietoturvatarkastukset ja konttien luominen.
• Käytä GitLabin Issue Boardia ja Merge Request -prosesseja koodin tarkistamiseen ja dokumentointiin.
4. Monitorointi ja palautteen kerääminen:
• Määritä GitLab Audit Events -ominaisuus projektin tapahtumien seuraamiseksi.
• Käytä GitLabin monitorointityökaluja, kuten Prometheus-integraatiota, projektin tilan valvontaan.
5. Dokumentaatio ja oppimisen reflektointi:
• Luo README.md, joka dokumentoi projektin tavoitteet, pipelinejen rakenteen ja käytetyt työkalut.
• Kirjoita oppimispäiväkirja havaintojen ja haasteiden dokumentoimiseksi.

Evaluation scale

0 - 5

Assessment criteria, excellent (5)

Kurssi arvioidaan tentin sekä kurssitehtävien laadun ja ajoissa palautettujen harjoitustehtävien mukaan. Mikäli suoritus perustuu harjoitustyöhön, arviointi tehdään sen perusteella.
Arvosanaan vaikuttaa myös tehtävien palautus ajoissa ja muut erityiset näytöt esimerkiksi yrityslähtöisessä harjoitustyössä.

Arvosana 5 annetaan opiskelijoille, joilla on yksityiskohtainen ymmärrys kurssilla esitellyistä tietoturvaongelmista ja jotka ovat käytännön ongelmissa ja ohjelmiston tietoturvatestauksesta suoriutuneet erinomaisesti.

Assessment criteria, good (3)

Arvosana 3 tai 4 annetaan opiskelijoille, jotka ymmärtävät kurssilla esitellyt tietoturvaongelmat sillä tasolla, että kykenevät käytännössä korjaamaan niistä ainakin yksinkertaisimmat haavoittuvuudet ja osaavat esimerkkien avulla suorittaa CI/CD pipeline testauksen.

Assessment criteria, satisfactory (1)

Arvosana 1 tai 2 annetaan opiskelijoille, jotka lähinnä tunnistavat nimeltä kurssilla käsitellyt tietoturvaongelmat ja osaavat yleisellä tasolla kertoa, miten niiltä suojaudutaan. Lisäksi vaaditaan näyttöä edes vähäisestä asioiden käytäntöön viemisestä

Assessment criteria, approved/failed

Kurssin harjoitustehtävien tekemättä jättäminen, hylätty tenttitulos.

Assessment methods and criteria

Kurssi arvioidaan projekityön ja oppimispäiväkirjan perusteella asteikolla 0 - 5

Prerequisites

Osallistujan täytyy osata ohjelmoida C - , C# - ja Python ohjelmointikielillä ja osata lukea akateemista, englanninkielistä tekstiä.Käyttöjärjestelmien ja verkkoliikenteen osaaminen on ehdoton edellytys.