Seminar Secure SDLC – CI/CD-Pipelines und DevSecOps

Seminarbeschreibung

Build- und Deployment-Systeme verfügen häufig über weitreichende Rechte auf Quellcode, Zugangsdaten und Zielumgebungen. Das Seminar betrachtet die Pipeline deshalb als schutzbedürftiges System und als Ausführungsort von Sicherheitsprüfungen. Beide Aufgaben werden miteinander verknüpft: Ein Prüfschritt hilft nur, wenn er zuverlässig ausgeführt wird und sein Ergebnis nicht unbemerkt umgangen werden kann.

Die Übungen verwenden eine vorbereitete GitLab-CI/CD-Umgebung mit Runner, Beispielrepository und Container-Registry. Plattformübergreifende Prinzipien werden anhand der konkreten Konfiguration erläutert. Nachvollziehbare Rollentrennung, begrenzte Jobberechtigungen und überprüfbare Freigaben stehen vor einer möglichst großen Anzahl eingebundener Werkzeuge. Installation und Grundadministration der CI/CD-Plattform sind bereits vorbereitet, damit genügend Zeit für Sicherheitskonfiguration und Fehleranalyse bleibt.

Im Labor werden gewöhnliche Codeänderungen und Änderungen an sicherheitskritischen Pipelinebestandteilen unterschiedlich behandelt. Die Freigabekette wird an Fehlerfällen geprüft, etwa wenn ein Sicherheitsjob übersprungen wird, ein Prüfwerkzeug technisch ausfällt oder ein anderes Artefakt als das geprüfte veröffentlicht werden soll. Dabei wird sichtbar, welche Informationen ein Job weitergeben muss und welche Entscheidung einer geschützten Freigabestelle vorbehalten bleibt. Nachvollziehbare Herkunft und begrenzte Berechtigungen werden bis zum Zielsystem betrachtet, ohne die Produktionszugänge eines realen Unternehmens vorauszusetzen.

Inhaltsübersicht

1. Bedrohungsmodell der Lieferpipeline
2. Repositories und Änderungen
3. Runner und Jobisolation
4. Geheimnisse und kurzlebige Identitäten
5. Sicherheitsprüfungen und Qualitätsgates
6. Releasefreigabe und Nachweise
7. Fehleranalyse und Betrieb

Seminarinhalte

Bedrohungsmodell der Lieferpipeline

• Quellcode, Pipelinekonfiguration, Runner, Registry und Zielumgebung als zusammenhängende Vertrauenskette untersuchen.
• Ungeprüfte Beiträge, veränderte Jobs und manipulierte Artefakte als konkrete Risikofälle beschreiben.
• Prüf- und Veröffentlichungsrechte nach Herkunft des Codes und Zielumgebung trennen.

Repositories und Änderungen

• Geschützte Branches, verpflichtende Reviews und sensible Konfigurationspfade absichern.
• Änderungen an Pipeline, Abhängigkeiten und Freigaberegeln mit geeigneten Verantwortlichen versehen.
• Unkontrollierte Einbindung fremder Skripte und veränderlicher Build-Vorlagen begrenzen.

Runner und Jobisolation

• Vertrauenswürdige und ungeprüfte Jobs getrennten Ausführungsumgebungen zuordnen.
• Privilegierte Container, gemeinsam genutzte Caches und persistente Arbeitsverzeichnisse bewerten.
• Berechtigungen, Netzwerkzugriffe und Lebensdauer der Jobumgebung gezielt einschränken.

Geheimnisse und kurzlebige Identitäten

• Zugangsdaten vom Repository trennen und nur den tatsächlich benötigten Jobs bereitstellen.
• Kurzlebige föderierte Jobidentitäten und begrenzte Zielberechtigungen konzeptionell einordnen.
• Maskierung, geschützte Variablen, Rotation und Berechtigungsentzug mit ihren Grenzen prüfen.

Sicherheitsprüfungen und Qualitätsgates

• SAST, Abhängigkeits- und Geheimnisprüfung in nachvollziehbare Jobs integrieren.
• Neue Befunde, Altbefunde und technische Prüfausfälle unterschiedlich behandeln.
• Abbruchbedingungen, Artefaktübergaben und geschützte Freigaben gegen Umgehung absichern.

Releasefreigabe und Nachweise

• Geprüften Quellstand, Build-Ergebnis und freigegebenes Artefakt eindeutig zusammenführen.
• Ausnahmen mit Befristung, Risikoverantwortung und erneuter Prüfung abbilden.
• Prüfberichte, Konfigurationsstand und Freigabeinformationen für spätere Nachprüfung aufbewahren.

Fehleranalyse und Betrieb

• Ausfall eines Scanners, abgelaufene Zugangsdaten und manipulierte Jobdefinitionen simulieren.
• Alarmierung, Zuständigkeit und Wiederanlauf der Sicherheitskontrollen festlegen.
• Pipelineänderungen selbst testen und schrittweise in weitere Projekte übernehmen.

Praxisübungen

1. Die vorbereitete Pipeline ausführen und ihre Vertrauensgrenzen dokumentieren.
2. Runner und Jobberechtigungen für unterschiedlich vertrauenswürdige Änderungen trennen.
3. Ein Übungsgeheimnis aus einer unsicheren Bereitstellung entfernen und dessen Zugriff eingrenzen.
4. Ausgewählte Sicherheitsprüfungen mit nachvollziehbaren Abbruchkriterien integrieren.
5. Eine erlaubte Ausnahme mit Ablaufdatum abbilden und ihre Wirkung prüfen.
6. Einen fehlgeschlagenen Prüflauf und eine manipulierte Pipelineänderung simulieren.
7. Ein Release nur für den geprüften Artefaktstand freigeben und den Nachweis kontrollieren.