Seminar Cyberwatch Vulnerability Manager – Container, SBOM, Registries und CI/CD

Das Seminar integriert Cyberwatch in den Container- und Softwarebereitstellungsprozess. Images werden aus Registries und Clusterquellen erfasst, analysiert, als SBOM dokumentiert und mit nachvollziehbaren Sicherheitsentscheidungen in CI/CD- und Freigabeprozesse eingebunden.

Inhaltsverzeichnis

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Container- und Image-Scanning technisch und organisatorisch einordnen.
• Registry- und Kubernetes-Discoveries sicher konfigurieren.
• SBOM- und Vulnerability-Ergebnisse für Entwicklung und Betrieb nutzbar machen.
• Harbor- und GitLab-CI-Integrationen mit Freigaberegeln umsetzen.
• Skalierung, Ausnahmebehandlung und Betriebskontrollen standardisieren.

Schrittweise Seminarinhalte

1. Container-Scanarchitektur und Datenmodell

Schwerpunkt: Image, Tag, Digest, Registry, Container, Package, Abhängigkeit, Vulnerability, SBOM, Scanzeitpunkt und Verantwortungsgrenze.

1. Ausgangslage, Scope, Verantwortlichkeiten und Abnahmekriterien für den Themenblock „Container-Scanarchitektur und Datenmodell“ erfassen.
2. Die relevanten Objekte, Datenflüsse und Abhängigkeiten anhand von Image, Tag, Digest, Registry, Container, Package, Abhängigkeit, Vulnerability, SBOM, Scanzeitpunkt und Verantwortungsgrenze in einem Arbeitsmodell strukturieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge am Laborsystem, an einer Beispielintegration oder im Prozessmodell schrittweise umsetzen und Zwischenstände dokumentieren.
4. Funktion, Berechtigungen, Datenqualität und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein konsistentes Container- und SBOM-Datenmodell erstellen, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

2. Registries und Discovery-Quellen

Schwerpunkt: Docker Registry, Amazon ECR, Harbor, GitLab Container Registry, OpenShift, Rancher, EKS, AKS, OKE, Zugangsdaten und automatische Registrierung.

1. Ausgangslage, Scope, Verantwortlichkeiten und Abnahmekriterien für den Themenblock „Registries und Discovery-Quellen“ erfassen.
2. Die relevanten Objekte, Datenflüsse und Abhängigkeiten anhand von Docker Registry, Amazon ECR, Harbor, GitLab Container Registry, OpenShift, Rancher, EKS, AKS, OKE, Zugangsdaten und automatische Registrierung in einem Arbeitsmodell strukturieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge am Laborsystem, an einer Beispielintegration oder im Prozessmodell schrittweise umsetzen und Zwischenstände dokumentieren.
4. Funktion, Berechtigungen, Datenqualität und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis eine getestete Registry- und Cluster-Discovery-Konfiguration erstellen, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

3. Image-Analyse und SBOM-Erzeugung

Schwerpunkt: Image-Abruf, temporäre Containerausführung, Paket- und Bibliothekserkennung, Layer, globale Pakete, SBOM-Export, Ergebnisvalidierung und Bereinigung.

1. Ausgangslage, Scope, Verantwortlichkeiten und Abnahmekriterien für den Themenblock „Image-Analyse und SBOM-Erzeugung“ erfassen.
2. Die relevanten Objekte, Datenflüsse und Abhängigkeiten anhand von Image-Abruf, temporäre Containerausführung, Paket- und Bibliothekserkennung, Layer, globale Pakete, SBOM-Export, Ergebnisvalidierung und Bereinigung in einem Arbeitsmodell strukturieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge am Laborsystem, an einer Beispielintegration oder im Prozessmodell schrittweise umsetzen und Zwischenstände dokumentieren.
4. Funktion, Berechtigungen, Datenqualität und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis einen reproduzierbaren Image-Scan- und SBOM-Prozess erstellen, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

4. Harbor Scanner Adapter

Schwerpunkt: Scanner-Endpunkt, Token, Projektzuordnung, Scanergebnis, SBOM, Harbor-Policy, Fehlerfälle, Rotation und Betriebsüberwachung.

1. Ausgangslage, Scope, Verantwortlichkeiten und Abnahmekriterien für den Themenblock „Harbor Scanner Adapter“ erfassen.
2. Die relevanten Objekte, Datenflüsse und Abhängigkeiten anhand von Scanner-Endpunkt, Token, Projektzuordnung, Scanergebnis, SBOM, Harbor-Policy, Fehlerfälle, Rotation und Betriebsüberwachung in einem Arbeitsmodell strukturieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge am Laborsystem, an einer Beispielintegration oder im Prozessmodell schrittweise umsetzen und Zwischenstände dokumentieren.
4. Funktion, Berechtigungen, Datenqualität und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis eine funktionsfähige Harbor-Scanner-Integration erstellen, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

5. GitLab CI und frühe Sicherheitsprüfung

Schwerpunkt: Pipeline-Job, Image-Referenz, API-Zugang, Ergebnisformat, Vulnerability-Bericht, SBOM, Fehlercodes, Schwellenwerte und Pipeline-Entscheidung.

1. Ausgangslage, Scope, Verantwortlichkeiten und Abnahmekriterien für den Themenblock „GitLab CI und frühe Sicherheitsprüfung“ erfassen.
2. Die relevanten Objekte, Datenflüsse und Abhängigkeiten anhand von Pipeline-Job, Image-Referenz, API-Zugang, Ergebnisformat, Vulnerability-Bericht, SBOM, Fehlercodes, Schwellenwerte und Pipeline-Entscheidung in einem Arbeitsmodell strukturieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge am Laborsystem, an einer Beispielintegration oder im Prozessmodell schrittweise umsetzen und Zwischenstände dokumentieren.
4. Funktion, Berechtigungen, Datenqualität und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis einen abgesicherten CI-Scan mit definiertem Quality Gate erstellen, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

6. Priorisierung, Freigabe und Ausnahmen

Schwerpunkt: kritische CVEs, exploitable Vulnerabilities, Fix-Verfügbarkeit, Basisimage, Risikoakzeptanz, Fristen, Rebuild, Blockierung und Ausnahmegenehmigung.

1. Ausgangslage, Scope, Verantwortlichkeiten und Abnahmekriterien für den Themenblock „Priorisierung, Freigabe und Ausnahmen“ erfassen.
2. Die relevanten Objekte, Datenflüsse und Abhängigkeiten anhand von kritische CVEs, exploitable Vulnerabilities, Fix-Verfügbarkeit, Basisimage, Risikoakzeptanz, Fristen, Rebuild, Blockierung und Ausnahmegenehmigung in einem Arbeitsmodell strukturieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge am Laborsystem, an einer Beispielintegration oder im Prozessmodell schrittweise umsetzen und Zwischenstände dokumentieren.
4. Funktion, Berechtigungen, Datenqualität und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein risikobasiertes Container-Freigabemodell erstellen, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

7. Skalierung, Betrieb und Nachweisführung

Schwerpunkt: Scanvolumen, Parallelität, Registry-Limits, Wiederholung, Aufbewahrung, Kennzahlen, Eigentümer, verwaiste Images und kontinuierliche Verbesserung.

1. Ausgangslage, Scope, Verantwortlichkeiten und Abnahmekriterien für den Themenblock „Skalierung, Betrieb und Nachweisführung“ erfassen.
2. Die relevanten Objekte, Datenflüsse und Abhängigkeiten anhand von Scanvolumen, Parallelität, Registry-Limits, Wiederholung, Aufbewahrung, Kennzahlen, Eigentümer, verwaiste Images und kontinuierliche Verbesserung in einem Arbeitsmodell strukturieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge am Laborsystem, an einer Beispielintegration oder im Prozessmodell schrittweise umsetzen und Zwischenstände dokumentieren.
4. Funktion, Berechtigungen, Datenqualität und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein messbares Betriebs- und Governance-Modell für Container-Scans erstellen, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

Praxisübungen und Laborszenarien

• Anbindung einer Test-Registry und automatische Registrierung ausgewählter Images.
• Erzeugung und Prüfung einer SBOM mit Zuordnung zu erkannten Vulnerabilities.
• Konfiguration eines Harbor- oder GitLab-CI-Szenarios mit Positiv- und Negativfall.
• Entwurf einer Freigabematrix für kritische, nicht behebbare und veraltete Images.

Zielgruppe und Voraussetzungen

Zielgruppe: DevSecOps, Plattform Engineering, Container- und Kubernetes-Betrieb, Softwareentwicklung, Application Security und Vulnerability Management.

Voraussetzungen: Grundkenntnisse in Docker oder OCI-Images, Registries, CI/CD, Kubernetes und Vulnerability-Management-Prozessen.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als technischer oder organisatorischer Standard wiederholbar bleiben.