Belajar DevSecOps Engineer - Pre-Requisites Skill & Setup Environment

#Pendahuluan

Selamat datang di series Belajar DevSecOps Engineer! Series ini akan membawa kalian menguasai peran yang mengintegrasikan security ke CI/CD dan platform secara otomatis — dari shift-left & security automation, secure pipeline & IaC security, container & runtime security, hingga policy-as-code, software supply chain, dan AI in DevSecOps. Total ada 28 episode yang tersusun dalam enam fase, dari fondasi skill sampai production readiness di tahun 2026.

Sebelum menulis policy pertama atau scanner pertama, ada skill dasar dan perangkat yang wajib kalian siapkan. Mengapa prasyarat ini penting? Karena DevSecOps tidak berdiri sendiri — ia adalah lapisan security yang ditanam di atas infrastruktur DevOps. Kalian akan membaca workflow GitHub Actions, memahami Dockerfile, mengaudit manifest Kubernetes, dan menulis kebijakan Terraform. Jika fondasi DevOps-nya goyah, security automation yang kalian bangun hanya akan menjadi gerbang yang mudah dilewati.

Episode 0 ini adalah peta jalan kalian: kita pastikan skill dasar terpenuhi, siapkan lab lokal dan akun CI, install security tools inti, lalu verifikasi semuanya bekerja. Setelah episode ini, seluruh series bisa diikuti dengan nyaman.

#Skill Dasar yang Wajib Dimiliki

#CI/CD

Kalian harus paham cara kerja pipeline modern: trigger push/PR, job, artifact, dan environment. Tidak perlu mahir — cukup bisa membaca workflow YAML dan tahu di tahap mana build/test/deploy terjadi, karena di sanalah kita akan menanamkan security gates mulai episode 3.

name: CI
on: [push]
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: echo "build step"

Perhatikan konsepnya: on menentukan trigger, jobs berisi langkah eksekusi. Hampir semua tool security nanti dimasukkan sebagai step di dalam struktur ini.

#Container dan Kubernetes

Image Docker adalah unit deployment standar, dan Kubernetes adalah runtime-nya. Kalian wajib nyaman dengan docker build, docker run, kubectl get pods, dan struktur manifest Deployment/Service. Episode 6, 8, dan 11 akan menggali sisi keamanannya secara mendalam.

docker --version
kubectl version --client

#IaC (Terraform)

Infrastructure as Code adalah tempat sebagian besar misconfigurasi cloud lahir — bucket publik, security group terbuka, database tanpa enkripsi. Pemahaman dasar HCL (resource, variable, output) akan membuat episode 7 tentang IaC security langsung bisa kalian praktikkan.

#Scripting dan Mindset Automation

Bash dan Python adalah lem perekat semua tool. Lebih penting lagi: pola pikir otomasi — "jika sebuah pemeriksaan security dikerjakan manual dua kali, ia harus dijadikan kode". Prinsip inilah yang membedakan DevSecOps engineer dari security auditor tradisional.

#Perangkat Software yang Disiapkan

#Akun GitHub + Actions

GitHub Actions akan menjadi platform pipeline utama di series ini karena gratis untuk repo publik dan terintegrasi penuh dengan repository. GitLab CI juga valid — konsepnya identik, hanya sintaksnya berbeda. Pastikan kalian punya repo kosong untuk latihan.

#Lab Container Lokal

Install Docker dan buat cluster Kubernetes ringan dengan kind (Kubernetes in Docker):

curl -Lo ./kind https://kind.sigs.k8s.io/dl/latest/kind-linux-amd64
chmod +x ./kind && sudo mv ./kind /usr/local/bin/kind
kind create cluster
kubectl get nodes

Cluster kind cukup untuk semua praktik Kubernetes di episode 8, 11, dan 18 — termasuk admission control dan network policy.

#Security Tools Inti

Ini senjata utama kita. Install sekarang, dalami saat episodenya tiba:

curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh -s -- -b /usr/local/bin
trivy --version

pipx install semgrep || pip install semgrep
semgrep --version

brew install gitleaks || go install github.com/gitleaks/gitleaks/v8@latest
gitleaks version

curl -O -L "https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64"
sudo mv cosign-linux-amd64 /usr/local/bin/cosign && sudo chmod +x /usr/local/bin/cosign
cosign version

Tambahkan juga Terraform CLI (terraform version) untuk bagian IaC, dan opsional Vault/OpenBao binary untuk episode 5 — keduanya bisa menyusul.

#Verifikasi Environment

Jalankan verifikasi menyeluruh sebelum lanjut:

git --version
docker run --rm hello-world
kubectl cluster-info
trivy --version
semgrep --version
terraform version
cosign version

Uji cepat scanner pertama kalian — scan image kecil untuk memastikan Trivy bisa mengunduh database kerentanannya:

trivy image --severity HIGH,CRITICAL nginx:alpine

Jika output menampilkan daftar CVE atau pesan "no vulnerabilities found", environment kalian sudah siap. Kalau ada error network saat mengunduh vulnerability DB, cek proxy/firewall kantor kalian — masalah klasik di lingkungan korporat.

#Ringkasan Prasyarat

Rangkuman yang sudah kalian siapkan di episode 0:

• Skill: CI/CD dasar, container/Kubernetes, IaC Terraform, scripting, mindset otomasi.
• Lab: Docker + cluster kind, akun GitHub dengan repo latihan.
• Tools: Trivy, Semgrep, gitleaks, cosign, Terraform — semua bisa dipanggil dari terminal.
• Verifikasi: trivy image nginx:alpine berhasil dieksekusi tanpa error.

Jika ada yang belum terpenuhi, berhenti dulu dan lengkapi. 27 episode ke depan akan jauh lebih lancar dengan pijakan ini.

#Penutup

Inti yang harus dibawa pulang:

• DevSecOps = security yang ditanam di atas fondasi DevOps; kuatkan CI/CD, container, dan IaC lebih dulu.
• Lab minimum: GitHub + Actions, Docker, cluster kind, Terraform.
• Security tools inti sudah terpasang: Trivy, Semgrep, gitleaks, cosign.
• Isolasi lingkungan latihan adalah praktik keamanan pertama kalian.

Di episode 1 selanjutnya kita akan membahas peran DevSecOps Engineer dan konsep shift-left — apa saja yang dikerjakan peran ini sehari-hari, mengapa menemukan bug di production 100 kali lebih mahal daripada di desain, dan bagaimana konteks 2026 menjadikan automated security gates sebagai standar. Pastikan environment kalian hijau di semua checklist, karena perjalanan Belajar DevSecOps baru saja dimulai!