GitHub Advanced Security (GH-500)

Algemene omschrijving

Let op: Bij de training GitHub Advanced Security (GH-500) is een account voor GitHub Enterprise Cloud of Enterprise Server met GitHub Advanced Security vereist.

De training GitHub Advanced Security (GH-500) biedt jou een diepgaande verkenning van de krachtige beveiligingsfunctionaliteiten binnen GitHub. Door de GH-500 training te volgen zul je ontdekken hoe jij risico’s vroegtijdig kunt signaleren en beperken door middel van secret scanning en dependency management, evenals code scanning met behulp van CodeQL. Hierdoor zul je in staat zijn om kwetsbaarheden binnen een ontwikkelomgeving snel op te sporen en structureel aan te pakken.

Verder zul je in de training GitHub Advanced Security (GH-500) leren hoe jij GitHub Advanced Security effectief in kunt zetten binnen jouw werk. Je zult bijvoorbeeld inzicht krijgen in hoe jij deze beveiligingsopties kunt configureren en toepassen, zodat je ontwikkelprocessen veiliger en controleerbaarder worden. Ongeacht of jij aan Open Source-projecten werkt of aan softwareprojecten binnen een organisatie, het volgen van de GH-500 training helpt jou om veiligheid standaard onderdeel te maken van jouw DevOps-aanpak.

Naast de technische aspecten gaat de training GitHub Advanced Security (GH-500) ook in op het beheren van gevoelige informatie en het instellen van beveiligingsbeleid. In de GH-500 training zul je leren om jouw GitHub-omgeving te beheren op een manier die voldoet aan de nieuwste beveiligingsnormen, met inbegrip van toegangsbeheer, beleid voor gegevensbescherming en veilige omgang met toegangsgegevens. Zo leer je met vertrouwen te werken aan software die niet alleen goed functioneert, maar ook veilig is.

Doelgroep

De training GitHub Advanced Security (GH-500) is ontwikkeld voor professionals die GitHub op een veilige, gestructureerde en professionele manier in willen zetten binnen hun ontwikkelomgeving.

Dit betreft met name de volgende mensen:

• DevOps Engineers die beveiliging willen integreren binnen hun CI/CD-pijplijn.
• Softwareontwikkelaars die kwetsbaarheden vroegtijdig willen detecteren en verhelpen.
• Beheerders en teamleiders die verantwoordelijk zijn voor toegangsbeheer, gegevensbescherming en beveiligingsbeleid.
• ICT-professionals die aan Open Source- en/of bedrijfsprojecten werken en veiligheid structureel willen waarborgen binnen GitHub.

Leerdoelen

Als jij aan openbare repositories werkt of binnen een organisatie, dan zal het volgen van de GH-500 training jou helpen om GitHub Advanced Security doeltreffend toe te passen.

Door de training GitHub Advanced Security (GH-500) te volgen, zul je de volgende kennis en vaardigheden verkrijgen:

• De functies van GitHub Advanced Security begrijpen en configureren.
• Dependabot inzetten voor geautomatiseerde updates van afhankelijkheden.
• Secret scanning instellen en beheren om gevoelige informatie te beschermen.
• Code scanning configureren met CodeQL voor het opsporen van kwetsbaarheden.
• Resultaten van CodeQL-scans analyseren en interpreteren.
• Beveiligingsbeleid beheren en gevoelige gegevens veilig verwerken binnen GitHub.

Voorkennis

Let op: Bij de training GitHub Advanced Security (GH-500) is een account voor GitHub Enterprise Cloud of Enterprise Server met GitHub Advanced Security vereist.

Voordat je deelneemt aan de training GitHub Advanced Security (GH-500), raden wij aan dat jij beschikt over werkervaring met GitHub Actions en werklasten binnen GitHub.

Onderwerpen

GH-500 | Module 1: Inleiding op GitHub Advanced Security

• Definieer wat GHAS is en waarom functies zoals secret scanning, code scanning en Dependabot belangrijk zijn.
• Weet hoe je GHAS inzet voor maximaal beveiligingseffect.
• Begrijp de rol van GHAS binnen het bredere beveiligingsecosysteem.

GH-500 | Module 2: Dependabot-beveiligingsupdates configureren in je GitHub-repository

• Beschrijf de beschikbare tools voor het beheren van kwetsbare afhankelijkheden in GitHub.
• Schakel Dependabot-waarschuwingen in en stel deze in.
• Identificeer de rechten en rollen die nodig zijn om Dependabot-waarschuwingen te bekijken en in te schakelen.
• Activeer en configureer beveiligingsupdates via Dependabot.
• Identificeer, beoordeel en los kwetsbare afhankelijkheden op.
• Leg uit hoe je met de GraphQL API kwetsbaarheidsinformatie ophaalt.
• Leg uit hoe je meldingen instelt voor kwetsbare afhankelijkheden.

Lab: Dependabot-beveiligingsupdates configureren

GH-500 | Module 3: Secret scanning configureren en gebruiken in je GitHub-repository

• Beschrijf wat secret scanning is.
• Configureer secret scanning.
• Gebruik secret scanning.

GH-500 | Module 4: Code scanning configureren op GitHub

• Beschrijf wat code scanning is.
• Noem de stappen om code scanning in een repository in te schakelen.
• Noem de stappen voor het inschakelen van code scanning met een externe analysetool.
• Vergelijk de implementatie van CodeQL-analyse via GitHub Actions met die via een externe CI-tool.
• Leg uit hoe je code scanning instelt met triggering events.
• Vergelijk de frequentie van workflows voor code scanning (gepland vs geactiveerd door events).

GH-500 | Module 5: Beveiligingsrisico’s identificeren in jouw codebase met CodeQL

• Maak een database met CodeQL die een relationele weergave van je bronbestanden genereert.
• Voer CodeQL uit op een database om kwetsbaarheden in de broncode op te sporen.
• Begrijp de resultaten van een CodeQL-scan met behulp van standaard- of aangepaste queries.

GH-500 | Module 6: Code scanning met GitHub CodeQL

• Begrijp hoe CodeQL werkt en broncode analyseert.
• Begrijp QL, de logische programmeertaal achter CodeQL.
• Stel CodeQL-code scanning in binnen een GitHub-repository.
• Gebruik een aangepaste CodeQL-query.
• Configureer de taalconfiguratie (language matrix) in een CodeQL-workflow.
• Leer hoe je de CodeQL CLI gebruikt om resultaten te genereren en te uploaden naar GitHub.
• Implementeer aangepaste buildstappen.

Lab: Verwijs naar een CodeQL-query

Lab: Configureer een CodeQL language matrix

GH-500 | Module 7: GitHub-beheer voor GitHub Advanced Security

• Begrijp wat GitHub Advanced Security is en hoe je dit inzet in de softwareontwikkelcyclus.
• Herken welke GHAS-functies beschikbaar zijn voor open source-projecten en welke voor enterprise-producten.
• Activeer de verschillende GHAS-functies binnen enterprise-omgevingen.
• Bepaal wie toegang moet krijgen tot GHAS-functies binnen een organisatie en wijs de juiste rechten toe.
• Stel beveiligingsbeleid in op organisatieniveau en op repository-niveau.
• Begrijp hoe je reageert op beveiligingswaarschuwingen.
• Gebruik het Security Overview-dashboard om waarschuwingen te monitoren.
• Gebruik de GHAS API-endpoints om functies en waarschuwingen te beheren.

GH-500 | Module 8: Gevoelige gegevens en beveiligingsbeleid beheren binnen GitHub

• Maak documentatie aan met beveiligingsrichtlijnen en nuttige informatie voor teamleden.
• Stel machtigingen en andere regels in.
• Automatiseer processen om beveiligingsincidenten te voorkomen.
• Reageer adequaat op beveiligingsincidenten.