Seminar OpenSCAP DevSecOps und CI/CD-Integration

Zielsetzung

Das Seminar zeigt, wie OpenSCAP technisch sauber in DevSecOps- und CI/CD-Abläufe integriert wird. Ziel ist der Aufbau wiederholbarer Prüfketten, die Sicherheit und Compliance bereits in Build-, Test- und Freigabephasen berücksichtigen, ohne die betriebliche Umsetzbarkeit aus dem Blick zu verlieren.

Zielgruppe

Adressiert werden Teams, die Security Checks automatisieren, Freigabekriterien definieren oder Compliance-Informationen für Pipelines, Release-Prozesse und Plattformstandards nutzbar machen müssen.

Vorkenntnisse

Erforderlich sind Linux-Grundkenntnisse und ein Verständnis für automatisierte Abläufe. Erste OpenSCAP-Erfahrung ist vorteilhaft, wird aber in den relevanten Grundlagen mit aufgegriffen.

Schwerpunkte

• Einordnung von OpenSCAP in Build-, Test-, Release- und Deployment-Pipelines
• Vorbereitung von SCAP-Inhalten und Profilen für standardisierte Prüfschritte
• Automatisierte Ausführung, Exit-Strategien und Policy Gates
• Nutzung von HTML-, XCCDF- und ARF-Ergebnissen in technischen Freigaben
• Verknüpfung mit Bash- und Ansible-Remediations für reproduzierbare Nachbesserungen
• Scans für Hosts, Container und Images in unterschiedlichen Übergabepunkten
• Fehlerbilder, Performance-Fragen und praktikable Betriebsmodelle

Praxisanteil

Auf Basis typischer Pipeline-Szenarien werden Prüfungen, Ergebnisverarbeitung und Remediation-Abläufe konzipiert und praktisch umgesetzt. Dadurch entsteht ein realitätsnahes Modell für belastbare OpenSCAP-Gates im Entwicklungs- und Bereitstellungsprozess.