Бесплатное обучение DevSecOps: ресурсы, лабы и сертификации для старта без бюджета

Полтора года назад я перешёл из backend-разработки в DevSecOps — с нулевым бюджетом на обучение. За три месяца настроил Semgrep и Trivy в GitLab CI на рабочем проекте, прошёл бесплатный курс Yandex Cloud и собрал портфолио из пяти пайплайнов с автоматическими проверками безопасности. Ни рубля на курсы — open-source инструменты, бесплатные платформы и документация OWASP. Здесь — конкретные ресурсы DevSecOps для обучения, лабы для отработки и честный разбор того, что реально получить бесплатно, а за что рано или поздно придётся платить.

Критерии отбора: почему именно эти ресурсы

Прежде чем перечислять ссылки, обозначу фильтры — чтобы не возник вопрос «а почему нет X».

Каждый ресурс в подборке проверен по четырём критериям:

1. Реальная бесплатность — доступ без trial-периода и обязательной привязки карты. Курс с подпиской «бесплатная неделя» сюда не попал.
2. Практическая применимость — результат можно показать на собеседовании или встроить в рабочий проект. Видеолекция без заданий — это YouTube, не обучение.
3. Актуальность инструментов — всё из подборки используется в индустрии прямо сейчас. Устаревший стек учить опасно: привыкнешь к паттернам, которых больше нет.
4. Воспроизводимость — всё можно пройти на локальной машине или бесплатном облачном аккаунте. Без корпоративной лицензии и без ментора.

Что осталось за рамками и почему: — Платные сертификации ($200–2000): Practical DevSecOps CDP, OffSec DevSecOps Essentials, EC-Council ECDE — качественные программы, но тема статьи — старт без вложений. — Корпоративные тренинги: Swordfish Security, InfoSecurity — ориентированы на компании, не на самостоятельное изучение. — Платформы в режиме audit: Coursera и edX позволяют «подслушивать» бесплатно, но сертификат стоит денег — упомяну это отдельно.

Бесплатные курсы DevSecOps: теория и базовые концепции

DevSecOps (Development + Security + Operations) — подход, при котором проверки безопасности встраиваются прямо в конвейер разработки, а не выполняются «потом, перед релизом». На практике: ты пишешь код, пушишь в репозиторий — и автоматика в CI/CD (Continuous Integration / Continuous Delivery — автоматическая сборка, тестирование и доставка кода) сама проверяет его на уязвимости, утечки секретов и небезопасные зависимости. Этот принцип называют shift-left — сдвиг безопасности влево, ближе к началу разработки.

Ниже — бесплатные курсы, которые дают теоретическую базу. Оценка разбита на две оси: теория и практика, потому что отличный курс по теории может быть бесполезен без лабораторной части.

OWASP (Open Worldwide Application Security Project — некоммерческая организация, создающая открытые стандарты безопасности приложений) — фундаментальный источник бесплатных материалов по DevSecOps. Помимо DSOMM, стоит изучить:

• OWASP SAMM — модель зрелости безопасности ПО. Помогает оценить, на каком уровне находится команда, и понять, куда двигаться дальше.
• OWASP Top 10 — десять самых критичных рисков веб-приложений: от A02:2021 Cryptographic Failures (ошибки криптографии) до A08:2021 Software and Data Integrity Failures (нарушения целостности ПО и данных). Знать наизусть — базовое требование на любом собеседовании по AppSec.
• OWASP ASVS — каталог требований безопасности к приложениям с тремя уровнями проверки. Удобен как чеклист: берёшь уровень 1 и проходишь пункт за пунктом.

Все документы доступны на owasp.org бесплатно и обновляются сообществом.

Для кого НЕ подходят бесплатные курсы

Если нет базового опыта с Linux-терминалом, Git и Docker — начинать с DevSecOps-курсов рано. Сначала стоит освоить основы DevOps: научиться собирать Docker-образ, написать простой пайплайн в GitLab CI или GitHub Actions, поработать с SSH. Без этого фундамента DevSecOps-специфика (SAST-сканеры, политики контейнеров, управление секретами) будет набором непонятных аббревиатур. Не потому что вы глупый — просто без контекста они не цепляются.

SAST, DAST и SCA: бесплатные инструменты DevSecOps для практики

Теория без инструментов — просто текст. Хорошая новость для начинающих: большинство инструментов DevSecOps — open-source, и начать практику DevSecOps онлайн можно за один вечер.

Три категории инструментов, которые нужно освоить:

• SAST (Static Application Security Testing) — статический анализ: сканирует исходный код без запуска приложения, ищет уязвимости прямо в файлах. Грубо говоря, читает ваш код и говорит «вот тут потенциальная SQL-инъекция».
• SCA (Software Composition Analysis) — анализ зависимостей: проверяет, нет ли известных уязвимостей в библиотеках, которые подключены к проекту. Вы написали отличный код, но подтянули requests==2.19.0 с дырой — SCA это поймает.
• DAST (Dynamic Application Security Testing) — динамический анализ: атакует работающее приложение снаружи, как это делал бы злоумышленник. Приложение должно быть запущено — DAST шлёт к нему запросы и смотрит, что ломается.

Место инструментов в DevSecOps-пайплайне

Зачем вообще нужны разные типы инструментов? Каждый закрывает конкретный вектор атаки. Чтобы это понять, полезно знать про MITRE ATT&CK — это открытый каталог тактик и техник, которые реально используют атакующие. Каждой технике присвоен идентификатор (T-код). Когда на собеседовании спрашивают «зачем нужен SCA?», ответ «проверяет зависимости» — слабый. А «защита от supply chain attacks, техника T1195.001 по ATT&CK» — уже другой разговор.

Вот как инструменты из таблицы выше маппятся на конкретные техники:

• Secret scanning (TruffleHog, detect-secrets) → защита от Credentials In Files (T1552.001). Атакующий ищет забытые пароли и ключи прямо в файлах репозитория. Вы удивитесь, как часто AWS-ключи лежат в коммитах двухлетней давности.
• SCA (Trivy, Snyk) → защита от Compromise Software Dependencies (T1195.001). Вредоносный код попадает через заражённую библиотеку — вспомните историю с event-stream в npm.
• DAST (OWASP ZAP) → обнаружение Exploit Public-Facing Application (T1190). Уязвимости, через которые атакуют публично доступные приложения.
• CI/CD-безопасность (Checkov, политики пайплайна) → защита от Poisoned Pipeline Execution (T1677). Атакующий внедряет вредоносные шаги в сам процесс сборки — и ваш «чистый» код собирается с бэкдором.

Лабы DevSecOps бесплатно: где тренироваться руками

Курсы дают теорию, инструменты — навык запуска команд. Но DevSecOps-инженер должен уметь работать в контексте: видеть уязвимость в пайплайне, понимать, как она эксплуатируется, и знать, как закрыть. Для этого нужны лабы — управляемые уязвимые среды, где можно ломать без последствий.

OWASP Juice Shop — намеренно уязвимое веб-приложение на Node.js с десятками заданий по OWASP Top 10. Разворачивается одной командой: docker run -p 3000:3000 bkimminich/juice-shop. Подходит для отработки DAST-сканирования: запускаешь Juice Shop, натравливаешь OWASP ZAP и учишься интерпретировать результаты. Первые 10 заданий решаются за вечер, дальше становится интереснее.

DVWA (Damn Vulnerable Web Application) — классическая уязвимая среда на PHP. Проще Juice Shop, подходит для самого первого контакта с веб-уязвимостями. Доступна как Docker-образ. Если Juice Shop кажется перегруженным — начните с DVWA.

TryHackMe — платформа с бесплатным тарифом и комнатами по DevSecOps-тематике: SAST, контейнерная безопасность, CI/CD. Бесплатных комнат хватает на первый месяц интенсивного обучения. Потом упрётесь в paywall, но к тому моменту база уже будет.

GitLab CI/GitHub Actions — собственный пайплайн — самый недооценённый вариант лабы. Создаёте бесплатный репозиторий, добавляете уязвимый проект (Juice Shop, DVWA или свой pet-проект) и настраиваете CI/CD-пайплайн с инструментами безопасности. Результат — готовый кейс для портфолио. Об этом подробнее в разделе ниже.

DevSecOps сертификация бесплатно: честный разбор

Тут нужна прямота. Полноценных профессиональных сертификаций по DevSecOps бесплатно не существует. Экзамены DevOps Institute (DevSecOps Foundation), Practical DevSecOps (CDP), EC-Council (ECDE) стоят от $200 до $2000. Это стоит знать сразу, чтобы не тратить время на поиски того, чего нет.

Что реально получить бесплатно:

• Сертификаты о прохождении (не путать с сертификациями): Yandex Cloud DevSecOps, Beeline Cloud DevSecOps — выдают подтверждение прохождения. На рынке труда это слабее профессиональной сертификации, но сильнее пустой строки в резюме.
• Coursera в режиме аудита — курс Introduction to DevSecOps можно пройти бесплатно, но сертификат Coursera доступен только по подписке (~$49/месяц). Знания получите, бумажку — нет.
• Бейджи GitHub — прохождение GitHub Security Advisor, настройка Dependabot и CodeQL в публичных репозиториях формирует профиль, который виден рекрутерам. Это не сертификация, но рекрутер видит, что вы не просто читали про безопасность.

Стратегия: вместо сертификата — портфолио. Публичный GitHub-репозиторий с настроенным DevSecOps-пайплайном и README, где описана архитектура проверок, на собеседовании весит не меньше, чем бейдж от Coursera. Я проверял — спрашивают про пайплайн, а не про бумажку.

Собираем безопасный CI/CD-пайплайн: практика за выходные

Ключевой раздел — здесь теория превращается в навык. Цель: создать пайплайн, который при каждом коммите автоматически проверяет код на уязвимости и секреты. Результат можно показать на собеседовании.

Требования к окружению

• ОС: Linux (Ubuntu 20.04+), macOS или Windows с WSL2
• RAM: минимум 4 ГБ, рекомендуется 8 ГБ для комфортной работы Docker-контейнеров
• Docker: версия 20.10+ (проверить: docker --version)
• Git: любая современная версия
• Аккаунт: бесплатный на gitlab.com или github.com
• Интернет: требуется для скачивания Docker-образов и баз уязвимостей

Пошаговая инструкция

Шаг 1. Создайте репозиторий и добавьте в него любой Python-проект (свой pet-project или клон уязвимого приложения). Если проекта нет — создайте минимальный Flask-сервис с файлом requirements.txt. Хватит буквально пяти строк кода и пары зависимостей.

Шаг 2. Добавьте файл .gitlab-ci.yml (для GitLab) в корень репозитория. Вот пайплайн с тремя проверками безопасности — SAST, секреты и SCA:

stages:
  - security

sast-semgrep:
  stage: security
  image: returntocorp/semgrep
  script:
    - semgrep --config=auto --json -o semgrep-report.json .
  artifacts:
    paths: [semgrep-report.json]

secret-scan:
  stage: security
  image: trufflesecurity/trufflehog
  script:
    - trufflehog filesystem --json . > secrets-report.json
  allow_failure: true

sca-trivy:
  stage: security
  image: aquasec/trivy
  script:
    - trivy fs --format json -o trivy-report.json .
  artifacts:
    paths: [trivy-report.json]

Что происходит: при каждом git push GitLab запустит три параллельных задания. Semgrep проверит код на типичные уязвимости (SQL-инъекции, XSS, небезопасные вызовы). TruffleHog просканирует файлы и историю Git на забытые токены и пароли. Trivy проверит зависимости из requirements.txt по базе CVE (Common Vulnerabilities and Exposures — стандартные идентификаторы известных уязвимостей; каждой дыре присваивается номер вроде CVE-2023-12345).

Шаг 3. Сделайте коммит и пуш. Перейдите в CI/CD → Pipelines в GitLab. Через 2–5 минут появятся результаты.

Как понять, что получилось: зелёные галочки у заданий — сканеры отработали. Откройте артефакты (файлы *-report.json): если Semgrep нашёл что-то — в JSON будут объекты с полями check_id, path, line. Если Trivy обнаружил уязвимые пакеты — в отчёте появятся записи с VulnerabilityID и Severity.

Шаг 4. Попробуйте намеренно добавить уязвимый код. Например, строку с eval(user_input) в Python-файл или устаревшую зависимость в requirements.txt (например, requests==2.19.0). Пушните — и посмотрите, как сканеры среагируют. Semgrep пометит eval как потенциально опасный (правило python.lang.security.audit.eval-detected), Trivy покажет CVE для старой версии requests. Вот этот момент — когда видишь, как автоматика ловит то, что ты сам заложил — запоминается надолго.

Весь процесс занимает 2–3 часа. На выходе — рабочий пайплайн, который уже делает больше, чем настроено в половине стартапов. Я не преувеличиваю.

Roadmap: обучение DevSecOps с нуля за 3 месяца

Структурированный план для тех, кто готов уделять обучению 5–8 часов в неделю. Ресурсы — только бесплатные.

Месяц 1: Фундамент — Пройти бесплатный курс Yandex Cloud «DevSecOps в облачном CI/CD» (требуется опыт DevOps уровня Middle) — Прочитать OWASP Top 10 полностью — каждый риск от A01 до A10 с примерами — Развернуть OWASP Juice Shop через Docker и пройти минимум 10 заданий — Установить Semgrep и Bandit локально, просканировать любой open-source Python-проект

Месяц 2: Инструменты в пайплайне — Собрать CI/CD-пайплайн из раздела выше (GitLab CI или GitHub Actions) — Добавить Trivy для сканирования Docker-образов (не только зависимостей) — Изучить Checkov — просканировать Terraform-конфигурацию или Kubernetes-манифест — Пройти 2–3 бесплатные комнаты TryHackMe по теме CI/CD security или container security — Изучить OWASP DSOMM — понять, как оценивается зрелость DevSecOps-процесса в организации

Месяц 3: Портфолио и углубление — Настроить DefectDojo (открытый инструмент управления уязвимостями) — импортировать отчёты из Semgrep и Trivy. DefectDojo собирает findings из разных сканеров в одном месте — без него утонете в JSON-файлах — Написать кастомное правило Semgrep для проекта, специфичного для вашего стека — Изучить управление секретами: HashiCorp Vault в dev-режиме (бесплатно локально) — Оформить GitHub-репозиторий с пайплайном как портфольный проект: README с описанием архитектуры, скриншотами пайплайна, объяснением каждого инструмента — Изучить фреймворки OWASP SAMM и ASVS для понимания, как строится безопасность на уровне процессов

К концу третьего месяца у вас: понимание shift-left подхода, опыт работы с 5–6 инструментами, публичное портфолио и ориентация в стандартах OWASP. Этого достаточно для junior DevSecOps-позиции или роли «DevOps-инженер с фокусом на безопасность».

Чеклист готовности к первой DevSecOps-роли

Используйте как самопроверку перед подачей резюме. Если закрываете 7 из 10 — уже можно откликаться.

1. Умеете объяснить, чем SAST отличается от DAST и SCA — и когда применять каждый.
2. Настроили хотя бы один CI/CD-пайплайн с автоматическими проверками безопасности (Semgrep, Trivy или аналоги).
3. Знаете OWASP Top 10 — можете назвать минимум 5 рисков и привести пример каждого.
4. Просканировали Docker-образ Trivy и интерпретировали отчёт — понимаете разницу между Critical, High и Medium severity.
5. Запустили OWASP ZAP против уязвимого приложения и проанализировали результаты.
6. Написали хотя бы одно кастомное правило для SAST-сканера (Semgrep YAML-правило).
7. Знаете, что такое MITRE ATT&CK и можете связать DevSecOps-инструменты с конкретными техниками (T1195.001, T1552.001, T1677).
8. Имеете публичный GitHub-репозиторий с документированным DevSecOps-пайплайном.
9. Понимаете разницу между OWASP DSOMM и OWASP SAMM и можете объяснить, зачем они нужны.
10. Знакомы с управлением секретами — хотя бы в теории понимаете, как работает HashiCorp Vault.

Главная ловушка бесплатного обучения DevSecOps — остановиться на уровне «умею запускать сканеры». Рынку нужны не операторы Trivy, а люди, которые понимают, почему конкретный finding критичен для бизнеса и что с ним делать дальше.

Бесплатные ресурсы дают технический фундамент — и дают его хорошо. Semgrep, Trivy, ZAP, документация OWASP — тот же стек, который используется в продакшене компаний уровня enterprise.

Проблема в другом: ни один бесплатный курс не учит приоритизировать. Когда сканер выдаёт 200 findings, а в спринте два дня до релиза — что чинить первым? Это навык, который формируется либо в реальной работе, либо в структурированном обучении с ментором и кейсами.

Бесплатные материалы по DevSecOps дают 70% необходимого для старта. Оставшиеся 30% закрываются практикой в команде, участием в open-source проектах и разбором реальных инцидентов. По вакансиям вижу: рынок в ближайший год-два разделится на «инструментальщиков» (запустил сканер, переслал отчёт) и «инженеров безопасности» (понял контекст, приоритизировал, автоматизировал fix). Первые будут конкурировать ценой, вторые — экспертизой. Бесплатное обучение DevSecOps с нуля — отличная точка входа, но оставаться на этом уровне не стоит. На курсе WAPT в Codeby Academy эту цепочку — от сканера до приоритизации и автоматизации — проходят на реальных лабах с обратной связью от практиков.