Quiz: DevSecOps

Question 1

Cosa significa "shift-left security" e qual e il suo beneficio principale?

Accepted Answer

Integrare i controlli di sicurezza nelle prime fasi del ciclo di sviluppo (progettazione, coding, CI) anziche solo in produzione, riducendo il costo di correzione dei difetti

Question 2

Qual e la differenza tra SAST e DAST nel contesto del testing di sicurezza applicativo?

Accepted Answer

SAST analizza il codice sorgente senza eseguirlo (white-box); DAST testa l'applicazione in esecuzione inviando input malformati (black-box)

Question 3

Cos'e la dependency scanning e perche e fondamentale in una pipeline CI/CD?

Accepted Answer

L'analisi automatica delle librerie di terze parti per rilevare CVE note, licenze non conformi e versioni obsolete prima che il codice raggiunga la produzione

Question 4

Qual e la best practice per la gestione dei secrets (API key, password, certificati) in una pipeline DevSecOps?

Accepted Answer

Usare un vault dedicato (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault) con accesso RBAC, rotazione automatica e audit log, mai hardcodarli nel codice o nei config file

Question 5

Cos'e la software supply chain security e quale attacco ha reso questo tema critico?

Accepted Answer

La protezione dell'intero processo di sviluppo e distribuzione del software (dipendenze, build, artefatti, distribuzione) da compromissione; l'attacco SolarWinds ha reso questo tema critico