Seminar Clair Grundlagen und Vulnerability Scanning

Beschreibung

Das Seminar vermittelt die Grundlagen der statischen Schwachstellenanalyse für Container Images. Clair wird als Analysekomponente betrachtet, die Image-Inhalte untersucht, mit Schwachstellendaten abgleicht und verwertbare Ergebnisse für Entwicklung, Security und Betrieb bereitstellt.

Neben dem technischen Ablauf stehen die Bewertung von Findings, der Umgang mit Severity-Angaben, Priorisierung und die Integration in vorhandene Registry- und CI/CD-Prozesse im Vordergrund. Die Übungen führen von ersten Scans bis zur Ableitung konkreter Maßnahmen.

Inhaltsübersicht

• Rolle von Vulnerability Scanning in der Container Supply Chain
• Grundbegriffe: Image, Manifest, Layer, Package, Vulnerability und Advisory
• Arbeitsweise von Clair mit Indexierung und Matching
• Zusammenspiel von Project Quay und Clair in einer Registry-Umgebung
• Interpretation von Findings, Severity, Paketversionen und False Positives
• Einbindung in Build-, Freigabe- und Betriebsprozesse
• Umgang mit bestehenden Images und kontinuierlicher Neubewertung
• Grenzen statischer Analyse gegenüber Laufzeit- und Konfigurationsprüfungen

Schrittweise Seminarinhalte

1. Schritt 1: Container-Image-Aufbau und Schwachstellenquellen werden fachlich eingeordnet.
2. Schritt 2: Ein Beispiel-Image wird in die Registry geladen und für die Analyse vorbereitet.
3. Schritt 3: Der Analyseablauf wird von der Indexierung bis zum Ergebnisbericht nachvollzogen.
4. Schritt 4: Findings werden nach Schweregrad, betroffenen Paketen und Aktualisierbarkeit bewertet.
5. Schritt 5: Priorisierungsregeln für Teams, Anwendungen und Umgebungen werden erstellt.
6. Schritt 6: Ein einfacher Freigabeprozess für Images wird aus den Scan-Ergebnissen abgeleitet.
7. Schritt 7: Grenzen und sinnvolle Ergänzungen durch zusätzliche Security-Prüfungen werden dokumentiert.

Praktische Übungen

• Durchführung eines Image-Scans mit anschließender Ergebnisanalyse
• Vergleich zweier Image-Versionen anhand der gemeldeten Schwachstellen
• Bewertung von Severity, betroffenen Paketen und Update-Pfaden
• Entwurf einer einfachen Richtlinie für den Umgang mit kritischen Findings
• Zuordnung von Findings zu Entwicklung, Plattformbetrieb und Security-Verantwortung

Zielgruppe

Entwickler, Administratoren, DevOps-Teams, Plattformteams und Security-Verantwortliche, die Container Images prüfbar und nachvollziehbar bewerten müssen.

Voraussetzungen

Grundlagen zu Containern und Images. Erfahrungen mit Docker, Podman, Kubernetes oder OpenShift sind nützlich, aber nicht zwingend erforderlich.

Nutzen im Betrieb

• Sicherere Bewertung von Container Images vor Nutzung oder Freigabe
• Bessere Zusammenarbeit zwischen Entwicklung, Betrieb und Security
• Klare Interpretation von Schwachstellenmeldungen statt bloßer Warnlisten
• Grundlage für nachvollziehbare DevSecOps-Prozesse