Seminar Software Supply Chain Intensiv – Abhängigkeiten, SBOM und Signierung

Seminarbeschreibung

Die Sicherheit einer Softwarelieferkette entsteht aus mehreren zusammenwirkenden Prüfungen: Komponenten müssen nachvollziehbar ausgewählt, das tatsächlich gebaute Artefakt muss inventarisiert und seine Veröffentlichung muss autorisiert sein. Dieses Intensivseminar führt diese Aufgaben an einer gemeinsamen Anwendung zusammen. Der Arbeitsablauf reicht von der Paketauflösung über die Bewertung von Sicherheitsbefunden und den gehärteten Container-Build bis zur Prüfung von Signatur und Provenance.

SBOMs und VEX-Aussagen werden konkret an Produktversionen gebunden; Registry und Freigabeverfahren erhalten eindeutige Zuständigkeiten. Eine Veröffentlichung erfolgt nur für das tatsächlich geprüfte Artefakt und unter den festgelegten Vertrauensbedingungen. Der gemeinsame Projektkontext vermeidet wiederholte Einführungen und ermöglicht einen integrierten Durchlauf. Alle Kernthemen der vier zugeordneten Fachseminare sind enthalten. Zusätzliche Paketökosysteme, umfangreiche Formatkonvertierungen und der Aufbau eigener Signaturinfrastruktur bleiben außerhalb des verdichteten Umfangs. Die Einrichtung der Laborwerkzeuge ist vor Seminarbeginn abgeschlossen.

Zusammengefasste Fachseminare

Die Kernthemen der folgenden Fachseminare werden in einem gemeinsamen Praxisprojekt gebündelt:

• Dependency Security – SCA und sichere Paketquellen
• SBOM und VEX – Transparenz mit CycloneDX und SPDX
• Container- und Registry-Security – Sichere OCI-Artefakte
• Signierung und Provenance – Sigstore, Cosign und SLSA

Inhaltsübersicht

1. Komponenten und Paketquellen kontrollieren
2. SCA-Befunde und Aktualisierungen bearbeiten
3. SBOM und VEX in den Prozess aufnehmen
4. Container-Images und Registry härten
5. Signierung und Provenance verifizieren
6. Integrierten Freigabeprozess testen

Seminarinhalte

Modul 1: Komponenten und Paketquellen kontrollieren

Kapitelinhalt: Abhängigkeiten; Lockfiles; Herkunft

• Direkte und transitive Abhängigkeiten des Projekts nachvollziehen und seinen aufgelösten Bestand erfassen.
• Paketquellen und Namensräume auf unerwünschte Auflösungswege prüfen.
• Versionsbindung, Pflegezustand und Review-Regeln zu einer kontrollierten Komponentenannahme verbinden.

Modul 2: SCA-Befunde und Aktualisierungen bearbeiten

Kapitelinhalt: Priorisierung; Kontext; Regressionstests

• Befunde gegen die tatsächliche Paketidentität und Produktverwendung prüfen.
• Eine betroffene direkte oder transitive Abhängigkeit geeignet aktualisieren und Funktionsänderungen testen.
• Begründete Ausnahmen befristen und technische Prüfungsfehler von bestätigten Sicherheitsbefunden unterscheiden.

Modul 3: SBOM und VEX in den Prozess aufnehmen

Kapitelinhalt: CycloneDX; SPDX; Dependency-Track

• Build- und Image-Inventare erzeugen und auf fehlende Identitäten oder Beziehungen prüfen.
• CycloneDX-SBOMs versionsbezogen in Dependency-Track verarbeiten und den SPDX-Austausch vergleichend einordnen.
• Eine technische Betroffenheitsbewertung als begründete VEX-Aussage mit begrenztem Geltungsbereich dokumentieren.

Modul 4: Container-Images und Registry härten

Kapitelinhalt: Build-Kontext; Laufzeitvorgaben; Promotion

• Ein schlankes Image mit kontrollierten Basis-Komponenten und eingeschränktem Benutzer erstellen.
• Temporäre Build-Zugänge so behandeln, dass ihre Werte nicht in Artefakte übernommen werden.
• Registry-Rechte, Quarantäne und Freigabebereiche einrichten und den geprüften Digest bei der Promotion kontrollieren.

Modul 5: Signierung und Provenance verifizieren

Kapitelinhalt: Cosign; Identitäten; Builder-Vertrauen

• Das Artefakt signieren und die Verifikation an die erwartete Identität sowie den erlaubten Aussteller binden.
• Eine Build-Attestierung auf Artefaktbezug, Quellstand und ausgewählte Builder-Angaben prüfen.
• SLSA-Anforderungen einordnen und Grenzen selbst erzeugter Nachweise sichtbar machen.

Modul 6: Integrierten Freigabeprozess testen

Kapitelinhalt: Gate-Kette; Negativfälle; Aktualisierung

• Komponentenbewertung, Inventar, Digest und Herkunftsnachweis für dasselbe Release zusammenführen.
• Manipulation, falsche Signaturidentität und unvollständige Nachweise gezielt als unzulässige Fälle prüfen.
• Ein aktualisiertes Release erneut durch die vollständige Prüfstrecke führen und alte Bewertungen auf Gültigkeit untersuchen.

Praxisworkshop

Die Übungsschritte bauen aufeinander auf und werden an der vorbereiteten Laborumgebung durchgeführt.

1. Die Abhängigkeiten einer Anwendung prüfen und ein relevantes Paket kontrolliert aktualisieren.
2. Das gehärtete Image bauen und eine versionsbezogene SBOM mit passender Betroffenheitsbewertung erzeugen.
3. Die Registry-Freigabe auf den geprüften Digest und die vorgesehenen technischen Konten beschränken.
4. Artefaktsignatur und Provenance ergänzen und eine eng begrenzte Verifikationsregel anwenden.
5. Eine erlaubte Veröffentlichung und mehrere unzulässige Varianten durch die gesamte Freigabestrecke führen.

Schulungsumgebung

Die Schulungsumgebung wird vom Kunden bereitgestellt. Vorbereitetes Projekt in einem Paketökosystem mit CI, Paketquelle, Container-Laufzeit, Registry, SCA-Werkzeug, Syft, Dependency-Track und Cosign. Signaturidentitäten, Vertrauensdaten und benötigte Inventarformate werden vorab abgestimmt.

Die Übungen werden schrittweise angeleitet. Konfiguration, erwartetes Verhalten und kontrollierte Fehlersituationen werden gemeinsam ausgewertet. Die Werkzeugstände werden vor Beginn auf Kompatibilität geprüft.