- Lunes a viernes de 9am - 18pm
- info@isecd.com
- +34 960 730 479
Detecta la vulnerabilidad antes de ejecutar: domina el SAST con SonarQube y Semgrep.
Duración
200 Horas
Módulos
8 Módulos
Nivel
Curso
Modalidad
Online
Precio
540 €
Seis pilares que estructuran el análisis estático de seguridad del código.
El Curso de Análisis estático de código con SonarQube y Semgrep es una formación de 200 horas diseñada para detectar vulnerabilidades en el propio código fuente, sin necesidad de ejecutarlo. Combina los fundamentos del SAST y su funcionamiento interno, SonarQube en profundidad con sus reglas y quality gates y Semgrep con reglas personalizadas, la gestión de falsos positivos y la integración en el pipeline para que implantes análisis estático sobre código real, desde el primer día.
No te formamos en teoría de seguridad, sino en analizar código que ya escribes: cada vulnerabilidad se detecta con una regla concreta y se gobierna con un quality gate que bloquea lo que no es seguro.
Email: contacto@isecd.com
La mayoría de las vulnerabilidades viven en el código fuente. Aprendes a detectarlas con análisis estático, la defensa que las encuentra antes de que el código llegue a ejecutarse.
SAST, SonarQube, quality gates, Semgrep, reglas personalizadas, falsos positivos e integración en el pipeline, todo lo que el análisis estático profesional exige.
El análisis estático de seguridad es una competencia escasa y muy demandada. Saber implantar SonarQube y Semgrep te diferencia en cualquier equipo de desarrollo.
Vídeos cortos, lecturas dirigidas y material descargable para asimilar los conceptos clave de cada bloque sin perder tiempo en relleno académico.
Proyectos con código vulnerable real donde escaneas con SonarQube, escribes reglas con Semgrep y triar los hallazgos, replicando el trabajo del análisis estático en un marco guiado.
Escenarios basados en hallazgos reales de aplicaciones: las vulnerabilidades que el SAST detecta y que aprenderás a gobernar de verdad en producción.
Desarrolladores de software
Ingenieros DevOps
Analistas de seguridad de aplicaciones
Responsables de calidad de software
Implantar el análisis estático en una organización, eligiendo las herramientas y afinando las reglas hasta que el equipo confíe en sus resultados.
Integrar controles de seguridad automáticos en el ciclo de desarrollo, con puertas de calidad que frenen lo peligroso y dejen pasar lo demás.
Gestionar la plataforma de análisis de toda la empresa, sus perfiles de calidad y el histórico que permite ver cómo evoluciona cada proyecto.
Priorizar la corrección de vulnerabilidades acumuladas según su explotabilidad real, y no según el orden en que las reportó la herramienta.
Acompañar a equipos de desarrollo en la adopción del análisis estático, desde la primera prueba de concepto hasta el quality gate en producción.
Escribir reglas de Semgrep a medida que detecten los patrones inseguros específicos de una organización y de su propio stack tecnológico.
Es revisar el código sin ejecutarlo para encontrar fallos de seguridad y de calidad antes de que lleguen a producción. Importa ahora porque los equipos publican varias veces por semana y ya no hay hueco para una revisión manual completa de todo lo que se escribe.
Trabajas SonarQube a fondo, con sus perfiles de calidad y sus quality gates, y Semgrep para escribir reglas propias adaptadas a tu código. Además aprendes a integrar ambas en el pipeline y, sobre todo, a gestionar los falsos positivos, que es lo que hunde la mayoría de implantaciones.
El SAST mira el código parado y encuentra fallos que el DAST nunca verá, como una credencial escrita en el fuente. El DAST prueba la aplicación en marcha y detecta lo que solo aparece al ejecutarla. Se complementan, y ningún programa serio de AppSec renuncia a uno de los dos.
Puedes trabajar como especialista en SAST dentro de un equipo de AppSec, como ingeniero de calidad de código, como responsable de la plataforma de análisis o dando soporte al pipeline de seguridad. Es un perfil muy demandado porque casi nadie sabe afinar estas herramientas de verdad.
Casi siempre por los falsos positivos. Se instala la herramienta con la configuración por defecto, el equipo recibe cientos de avisos irrelevantes y en un mes deja de mirarlos. Este curso dedica un módulo entero a afinar reglas y a decidir qué se bloquea y qué se registra sin más.
Sí. Cuentas con un tutor especializado que resuelve tus dudas técnicas, revisa tu progreso en los laboratorios y te orienta cuando un ejercicio se atasca. No estudias en solitario.
Al superar el programa recibes el título de Curso de Análisis estático de código con SonarQube y Semgrep, que acredita las 200 horas de formación y las competencias prácticas adquiridas.
Sí. Ofrecemos pago fraccionado sin intereses para que distribuyas el importe de la matrícula en cómodas mensualidades. Tu asesor te explica las opciones disponibles según tu caso.
Cursos diseñados para profesionales que quieren especializarse en esta área. Cada programa combina técnica aplicada, casos sectoriales y certificación al finalizar.
