Seminar Intensiv: DevSecOps, Cloud und Software Supply Chain Security

Seminarbeschreibung

Das Intensivseminar betrachtet die Softwarelieferung vom Repository bis zur laufenden Anwendung und ihrer Wartung. Prüfwerkzeuge, Build-Berechtigungen, Komponentenbestand und Laufzeitkonfiguration werden aufeinander abgestimmt. Die gemeinsame Laborstrecke endet mit einem nachvollziehbar geprüften Wartungsrelease.

Gebündelt werden die Fachthemen der Einzelkurse zu DevSecOps, Cloud-native Application Security, Softwarelieferketten und Vulnerability Management. Wiederkehrende Einrichtungsschritte werden durch eine vorbereitete Umgebung ersetzt. Die Veranstaltung setzt praktische CI/CD- und Kubernetes-Kenntnisse voraus; sie vermittelt keine vollständige Einführung in den Clusterbetrieb oder mehrere Plattformprodukte. Die Übungstiefe der Einzelkurse wird zugunsten des zusammenhängenden Lieferprozesses reduziert.

Inhalte im Überblick

• CI/CD und geschützte Entwicklungsumgebungen
• Cloud-native Workloads absichern
• SBOM, Signaturen und Herkunftsnachweise
• Freigaberegeln und Befundsteuerung
• Produktschwachstellen und Wartungsrelease
• Integrierte Liefer- und Störungsübung

Zielgruppe

Erfahrene DevOps- und Plattformteams, Build- und Release-Verantwortliche, Entwickler containerisierter Anwendungen sowie technische Product-Security-Verantwortliche.

Voraussetzungen

Praktische Kenntnisse von Git, CI/CD, Containern, Kubernetes, Linux und Netzwerken. Erfahrung mit Anwendungsbuilds, Deployments und grundlegender Sicherheitstestung wird vorausgesetzt.

Seminarinhalte

CI/CD und geschützte Entwicklungsumgebungen

• Repository, Runner, Artefaktablage und Zielumgebung nach Vertrauensgrenzen strukturieren.
• Statische Analyse, Abhängigkeits- und Secret-Prüfung in eine vorhandene Pipeline integrieren.
• Nicht vertrauenswürdige Änderungen von privilegierten Jobs und Release-Zugangsdaten trennen.

Cloud-native Workloads absichern

• Images und Laufzeitrechte mit geeigneten Sicherheitskontexten härten.
• Service Accounts, RBAC, Secret-Bereitstellung und Netzwerkzugriffe begrenzen.
• Ressourcen, Konfiguration, administrative Endpunkte und beobachtbares Fehlerverhalten prüfen.

SBOM, Signaturen und Herkunftsnachweise

• Komponentenbestand und transitive Abhängigkeiten einem konkreten Artefakt zuordnen.
• SBOM und Herkunftsinformationen erzeugen und unabhängig vom Build verifizieren.
• Signaturen gegen erwartete Identitäten prüfen und unpassende Lieferungen zurückweisen.

Freigaberegeln und Befundsteuerung

• Neue Befunde, bekannte Altlasten und Scannerfehler unterschiedlich behandeln.
• Befristete Ausnahmen mit nachvollziehbaren Entscheidungs- und Prüfkriterien versehen.
• Freigaben an relevante Risiken und vollständige Nachweise koppeln.

Produktschwachstellen und Wartungsrelease

• Eine Meldung aufnehmen, reproduzieren und auf betroffene Versionen beziehen.
• Korrektur, Zwischenmaßnahme, Nachtest und Versionskommunikation abstimmen.
• Ursachen in zusätzliche Pipeline- oder Produktprüfungen zurückführen.

Integrierte Liefer- und Störungsübung

• Eine Anwendung über die geschützte Pipeline in den Laborcluster ausliefern.
• Eine problematische Abhängigkeit erkennen und einen geprüften Austausch durchführen.
• SBOM, Prüfergebnisse und signiertes Artefakt konsistent erneuern und das Wartungsrelease verifizieren.

Praxisübungen

1. Die vorhandene Pipeline und die Labor-Workload auf notwendige Berechtigungen prüfen.
2. Prüfungen ergänzen und eine gehärtete Anwendungsbereitstellung testen.
3. Ein Release mit Komponentenübersicht und überprüfbaren Herkunftsnachweisen erstellen.
4. Eine simulierte Produktschwachstelle bewerten und eine korrigierte Abhängigkeit integrieren.
5. Das Wartungsrelease einschließlich Funktionsprüfung, Nachweisen und Versionsinformation abnehmen.

Schulungsumgebung

Vorbereitete CI/CD-Plattform, isolierter Runner, Registry, Kubernetes-Laborcluster mit geeigneter Netzwerkunterstützung sowie Beispielanwendung. SBOM-, Signatur- und Prüfwerkzeuge sind betriebsbereit.

Zugehörige Einzelseminare

Die folgenden Fachthemen werden in diesem Intensivseminar zusammengeführt. Die Einzelkurse bieten zusätzliche Vertiefungen und Übungsvarianten.

• Cloud-native Application Security mit Containern und Kubernetes
• DevSecOps: Sicherheitsprüfungen in CI/CD integrieren
• Software Supply Chain Security: SBOM und sichere Releases
• Vulnerability Management und Product Security Incident Response

Seminarauswahl

Zur Übersicht und zu den empfohlenen Lernwegen