Seminar Probely CI/CD-Integration und Security Gates

DAST in einer Pipeline ist kein einzelner Befehl, sondern ein abgestimmter Ablauf zwischen bereitgestellter Testumgebung, Zielzuordnung, Authentifizierung, Scanzeit und Freigaberegeln. Das Seminar entwickelt einen stufenweisen Integrationsansatz, der Rückmeldungen beschleunigt, ohne Builds durch instabile oder falsch konfigurierte Prüfungen unnötig zu blockieren.

Inhaltsübersicht

• Nutzen und Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Einordnung im Lernpfad

Nutzen und Lernziele

• Pipeline- und Umgebungsarchitektur für dynamische Scans festlegen
• Ziele, Releases und temporäre Umgebungen eindeutig zuordnen
• Token und weitere Geheimnisse sicher in CI/CD bereitstellen
• Scans synchron oder asynchron kontrolliert auslösen und überwachen
• Schweregrade, Zustände und Ausnahmen in nachvollziehbare Security Gates übersetzen
• Integrationen stufenweise ausrollen, messen und störungsarm betreiben

Zielgruppe

DevSecOps-Teams, Build- und Release-Engineers, AppSec, Plattformentwickler, CI/CD-Administratoren und technische Projektleiter

Voraussetzungen

Erfahrung mit mindestens einem CI/CD-System, YAML oder Pipeline-Skripten, HTTP und Geheimnisverwaltung. Ein freigegebenes Testziel sowie eine nichtproduktive Pipeline werden benötigt.

Seminarinhalte

Modul 1: Pipeline-Zielbild und Scanzeitpunkt

1. Build-, Test-, Staging- und Freigabestufen der bestehenden Pipeline erfassen
2. Für jede Stufe Zweck, zulässige Laufzeit und benötigte Prüftiefe bestimmen
3. Schnelle Rückmeldung im Merge-Prozess von umfassender Releaseprüfung trennen
4. Abhängigkeiten zu Deployment, Testdaten und Umgebungsabbau dokumentieren

Modul 2: Ziel- und Umgebungszuordnung

1. Stabile Testumgebungen und kurzlebige Review-Umgebungen unterscheiden
2. Eindeutige Schlüssel für Anwendung, Branch, Umgebung und Release definieren
3. Vorhandene Ziele wiederverwenden oder temporäre Ziele kontrolliert anlegen
4. Aufräumregeln für stillgelegte oder abgelaufene Umgebungen festlegen

Modul 3: Geheimnisse und technische Konten

1. Technisches Konto mit minimalen Rechten für den Pipelinezweck anlegen
2. Token ausschließlich über den Secret Store des CI/CD-Systems bereitstellen
3. Maskierung, geschützte Variablen und Zugriff auf vertrauenswürdige Branches prüfen
4. Rotation und Widerruf ohne Änderung des Pipelinecodes erproben

Modul 4: Pipeline-Schritt mit CLI oder API

1. Werkzeugversion reproduzierbar fixieren und Integrität der Laufzeitumgebung prüfen
2. Ziel und Scanprofil aus versionierter Konfiguration bestimmen
3. Scan mit eindeutiger Pipeline- und Releasekennung auslösen
4. Rückgabecodes sowie Standard- und Fehlerausgabe maschinenlesbar behandeln

Modul 5: Asynchrone Scans und Zeitüberschreitungen

1. Scanstart und Ergebnisabfrage als getrennte Pipelinephasen modellieren
2. Status mit begrenzter Wiederholung und angemessenem Warteabstand abfragen
3. Maximale Pipelinezeit und fachliche Scanzeit getrennt konfigurieren
4. Fortsetzung, Abbruch oder spätere Auswertung für lange Scans festlegen

Modul 6: Security-Gate-Regeln

1. Relevante Schweregrade, Finding-Zustände und Zielkritikalität festlegen
2. Neue Findings von bereits akzeptierten oder behobenen Findings unterscheiden
3. Schwellwerte zuerst als nicht blockierende Beobachtung einführen
4. Blockierung nur nach gemessener Stabilität und dokumentierter Ausnahmebehandlung aktivieren

Modul 7: Provider-Muster und wiederverwendbare Komponenten

1. Provider-spezifische Syntax von fachlicher Scanlogik trennen
2. Wiederverwendbare Templates für GitLab, GitHub Actions, Jenkins, Azure DevOps oder Bitbucket entwickeln
3. Parameter, Secrets und Artefakte eindeutig dokumentieren
4. Änderungen an zentralen Templates über Pilotprojekte und Versionsfreigabe ausrollen

Modul 8: Artefakte, Rückmeldung und Entwicklererlebnis

1. Kurze Pipelinezusammenfassung mit Linkersatz durch eindeutige Ziel- und Scanbezeichner erzeugen
2. Maschinenlesbare Ergebnisse und relevante Berichte als Artefakte ablegen
3. Fehlerursache, betroffenen Endpunkt und nächsten Bearbeitungsschritt verständlich ausgeben
4. Benachrichtigungen auf verantwortliche Teams begrenzen und Mehrfachmeldungen vermeiden

Modul 9: Stufenweiser Rollout und Betriebsreife

1. Pilotanwendungen mit unterschiedlicher Architektur und Kritikalität auswählen
2. Laufzeit, Fehlerrate, Finding-Qualität und Blockierungsquote messen
3. Runbook für Tokenfehler, nicht erreichbare Ziele und überlange Scans erstellen
4. Nach stabiler Pilotphase Standards, Supportweg und Wartungsverantwortung verbindlich machen

Praxisübungen

• Integration eines begrenzten Scans in eine Beispielpipeline
• Sichere Bereitstellung und Rotation eines technischen Tokens
• Aufbau eines asynchronen Scanablaufs mit Timeout und Wiederaufnahme
• Definition eines zunächst nicht blockierenden und später blockierenden Gates
• Analyse fehlerhafter Pipelineabläufe bei nicht erreichbarer Umgebung und ungültigem Scope
• Erstellung eines wiederverwendbaren Pipeline-Templates mit Parametern und Artefakten

Einordnung im Lernpfad

Empfohlen nach DAST-Grundlagen, Scanprofilen und einer Web- oder API-Vertiefung. Für komplexe Joblogik folgt die API- und CLI-Automatisierung; für Ticketing und Benachrichtigung folgt das Integrationsseminar.