Ścieżka Cloud Security & DevSecOps od wspólnych fundamentów przez AWS, Azure i Google Cloud po IaC, Kubernetes, CI/CD, ochronę danych i reagowanie na incydenty. Każdy moduł kończy test wiedzy bez wymaganych laboratoriów i instalacji.
Rola Cloud Security Engineera, modele IaaS/PaaS/SaaS, współdzielona odpowiedzialność, regiony i strefy, hierarchie zasobów, podstawowe usługi oraz różnica między control plane i data plane. Moduł buduje jeden model przenośny między AWS, Azure i Google Cloud.
Tożsamości ludzi i workloadów, ewaluacja polityk, least privilege, MFA, SSO, federacja, krótkotrwałe poświadczenia, wykrywanie nadmiernych uprawnień oraz dostęp uprzywilejowany i break-glass.
Landing zone, guardraile, segmentacja, ingress i egress, prywatny dostęp do usług, hardening compute i PaaS, klasyfikacja i szyfrowanie danych, zarządzanie kluczami oraz bezpieczne dostarczanie sekretów.
Terraform jako deklaracja pożądanego stanu, granice zaufania planu i state, bezpieczne moduły, review i apply, Checkov i Trivy, status tfsec, policy as code, drift, wyjątki oraz bezpieczeństwo providerów i modułów.
Model kontenera, zaufanie do obrazu i build, skanowanie podatności, architektura Kubernetes, RBAC i service accounts, Pod Security, workload hardening, secrets, NetworkPolicy, admission control i telemetria runtime.
Secure SDLC i threat modeling, granice zaufania pipeline, SAST/SCA/DAST, secret scanning, OIDC do chmury, SBOM i VEX, podpisy i provenance oraz bezpieczne approvals, promocja i GitOps.
Strategia logowania, źródła audytowe AWS/Azure/GCP, centralizacja i integralność, detekcje chmurowe, przejęcia tożsamości, zmiany konfiguracji, containment w control plane oraz forensic readiness, recovery i lessons learned.
Publiczny storage, kradzież kluczy i tokenów, privilege escalation IAM, SSRF i metadata/workload identity, kompromitacja pipeline, kontener i ruch lateralny, cross-account trust oraz bezpieczna walidacja i usuwanie całych ścieżek zamiast pojedynczych objawów.
Organizacje i konta, SCP/RCP, IAM Identity Center, VPC, KMS, workload identity, CloudTrail i reakcja na incydenty w modelu AWS.
Tenant Entra, management groups, Azure Policy, PIM, managed identities, Private Link, Key Vault, Defender for Cloud, Sentinel i response.
Organizacja, folders i projekty, Organization Policy, IAM, service accounts, Workload Identity Federation, Shared VPC, VPC Service Controls, KMS, Audit Logs i SCC.
Model operacyjny, hierarchie, wspólne usługi, federacja, guardraile, telemetria, vending oraz drift w środowisku wielu chmur.
Efektywna ścieżka pakietu, transit, hybrid, DNS, ingress, egress, service-to-service i telemetria sieciowa.
Klasyfikacja, przepływy, szyfrowanie, klucze, autoryzacja, retencja, residency, DLP i response dla danych chmurowych.
Threat model kryptografii, envelope encryption, KMS, separacja ról, lifecycle klucza, HSM, PKI, automatyzacja certyfikatów i response.
Granice odpowiedzialności, revision i identity, event sources, sekrety, sieć, retry, idempotency, managed data services oraz response.
Inventory i kontrakt, tokeny, BOLA/BFLA/BOPLA, schema validation, limity, gateway-backend trust, webhooki, third-party APIs oraz response.
Model produktu platformowego, kontrakty modułów, provenance zależności, state, plan JSON, testy, self-service vending oraz response na drift.
Model decyzyjny, schema inputu, Rego/Conftest, testy, punkty egzekwowania, wyjątki, rollout, fail modes i decision logs.
Threat model klastra, API access, etcd i Secrets, admission, control plane, kubelet, sieć, certyfikaty, audit i incident response.
Izolacja kontenerów, mechanizmy kernela, attestacja workloadów, SPIFFE/SPIRE, mTLS, autoryzacja mesh, zaufanie control plane, Falco oraz response runtime.
Triggery i konteksty zaufania, GITHUB_TOKEN, pinning actions, reusable workflows, OIDC, environments, runners, attestations, audit i incident response.
Threat model platformy, trust zones, ephemeral lifecycle, executory, privileged buildy, identity, sieć, cache, artefakty, supply chain floty, telemetry i response.
Inventory i pokrycie, advisory intelligence, skanowanie agentless i runtime, digest obrazu, attack paths, priorytetyzacja, patching, wyjątki, SLA i assurance programu.
Readiness, timeline control plane i identity, compute/network evidence, Kubernetes i serverless, zakres dostępu do danych, chain of custody, polowanie hipotezami oraz containment i lessons learned.
Threat model destrukcyjnego ataku, dependency map, RTO/RPO, izolowane i immutable backupy, dual control, klucze, recovery points, clean room, awarie regionu/control plane oraz ćwiczenia.
Granice tenantów, propagacja kontekstu, autoryzacja, dane, runtime, noisy neighbour, operacje administracyjne oraz assurance izolacji w modelach pooled, bridge i silo.
Threat model danych, treningu, modeli, MLOps, endpointów, RAG, prompt injection, agentów, narzędzi oraz ewaluacji i response w środowisku chmurowym.
Denial of wallet, cryptomining, egress, serverless i AI cost attacks, alokacja kosztów, anomalie, budżety, quota, response finansowy oraz wspólny model FinSecOps.
Model operacyjny platform cloud-native security: inventory i coverage, posture controls, entitlement i attack paths, runtime, dane, normalizacja findingów, priorytetyzacja oraz assurance.
Granice zaufania GitOps, repozytoria i promotion, reconciler identity, multi-tenancy, rendering, secrets, sync/prune/self-heal, progressive delivery, monitoring oraz recovery control plane.
Internet edge od DNS i TLS przez CDN/cache, WAF, rate limiting i bot controls po ochronę origin, odporność L3–L7, telemetrię oraz incident response.
Threat modeling, CIS Benchmarks i baseline, NIST CSF/CSA CCM/ISO 27001/NIS2, dane i dostawcy, wyjątki i ryzyko, metryki oraz dowody, security architecture review i finałowy capstone Helios łączący chmurę, IaC, Kubernetes, pipeline i response.
