Seminar OWASP Dependency-Track für Kubernetes und Container-Umgebungen

Inhaltsübersicht

• Container- und Plattformbestand modellieren
• SBOM-Erzeugung für Images und OS-Komponenten
• Import und Bewertung in Dependency-Track
• Integration in Plattform- und Release-Prozesse

Seminarziel

Das Seminar vermittelt, wie Dependency-Track für Container-Images und Kubernetes-nahe Softwarelieferketten genutzt wird. Behandelt werden Image-SBOMs, Betriebssystempakete, Projektmodellierung und die Einbindung in Plattformprozesse.

Zielgruppe

Geeignet für Plattform- und DevSecOps-Teams, die Containerbestand und Abhängigkeiten über reine Image-Scans hinaus nachvollziehbar inventarisieren wollen.

Voraussetzungen

Erforderlich sind Grundkenntnisse in Container-Images, Registries und Kubernetes-Betriebsprozessen. Dependency-Track-Grundlagen sind hilfreich.

Seminarinhalte

1. Container-Kontext einordnen

1. Anwendungsbibliotheken und OS-Pakete unterscheiden
2. Image-Versionen, Tags und Digests in ein Projektmodell übersetzen
3. Cluster-, Namespace- und Applikationssicht trennen
4. Grenzen zwischen Registry-Scan und SBOM-Portfolio klären

2. Image-SBOMs erzeugen

1. Geeignete Zeitpunkte für SBOM-Erzeugung festlegen
2. Container- und OS-Komponenten in der BOM prüfen
3. Package URLs und Distro-Informationen bewerten
4. Mehrschichtige Images und Basisimages berücksichtigen

3. Dependency-Track-Modell umsetzen

1. Projekte für Images und Releases anlegen
2. BOMs importieren und Komponentenbestand prüfen
3. Findings nach Image, Basisimage und Applikation auswerten
4. Projektbeziehungen für Plattformbestand nutzen

4. Plattformprozess integrieren

1. SBOM-Erzeugung in Build- und Registry-Prozesse einbinden
2. Freigaben für Images und Deployments definieren
3. Rückmeldungen an Plattform- und Anwendungsteams regeln
4. Wiederkehrende Neubewertung bei neuen Schwachstellen berücksichtigen

5. Betriebsfragen klären

1. Datenvolumen und Versionierungsstrategie planen
2. Verantwortung für Basisimages und Applikationsimages trennen
3. Kennzahlen für Containerbestand ableiten
4. Runbook für kritische Image-Findings erstellen

Praktische Übungen

• Modellierung eines Container-Portfolios
• Import einer vorbereiteten Image-SBOM
• Bewertung von OS- und Bibliotheksfindings
• Definition eines Plattformprozesses für Image-Freigaben

Praxisnutzen

Zwei Tage sind notwendig, weil Container- und Kubernetes-Kontexte ein eigenes Projektmodell, eigene SBOM-Qualitätsfragen und eigene Betriebsprozesse mitbringen.