Seminar Docker Scout, SBOM und Supply Chain Security

Das Seminar vermittelt Transparenz und Sicherheitsbewertung von Container-Artefakten entlang der Lieferkette. Der Schwerpunkt liegt auf nachvollziehbaren Arbeitsschritten, praktischer Umsetzung und sauberer Übergabe in Entwicklung oder Betrieb.

Inhaltsübersicht

• SBOM-Grundlagen und Pakettransparenz
• Image-Scanning und Schwachstellenbewertung
• Bewertung von Basisimages und Abhängigkeiten
• Provenance, Attestations und Build-Herkunft
• Sicherheits-Gates in CI/CD
• Dokumentation für Freigabeprozesse

Beschreibung

Im Mittelpunkt steht nicht die bloße Bedienung einzelner Befehle, sondern der vollständige Arbeitsweg: Ausgangslage prüfen, Containerstruktur planen, Umsetzung durchführen, Fehler erkennen und das Ergebnis in eine belastbare Arbeitsweise überführen.

Die Übungen sind so angelegt, dass typische Unternehmenssituationen abgebildet werden: lokale Entwicklungsumgebungen, wiederholbare Builds, kontrollierte Konfiguration, sichere Artefakte und klare Betriebsinformationen. Dadurch entsteht keine Laborromantik, sondern eine Arbeitsweise, die im Alltag Bestand hat.

Seminarinhalte

1. Schritt 1: Lieferkette erfassen: Quellcode, Build-System, Registry, Deployment und Betrieb werden als zusammenhängender Prozess betrachtet.
2. Schritt 2: Image-Inhalte analysieren: Pakete, Baselines und Abhängigkeiten werden sichtbar gemacht.
3. Schritt 3: SBOM erzeugen und auswerten: Softwarebestandteile werden für Freigabe und Prüfung dokumentiert.
4. Schritt 4: Schwachstellen bewerten: Funde werden nach Kritikalität, Ausnutzbarkeit und Kontext priorisiert.
5. Schritt 5: Basisimages überprüfen: Herkunft, Aktualität und Wartbarkeit werden in die Risikobetrachtung aufgenommen.
6. Schritt 6: CI/CD-Gates planen: Builds werden anhand definierter Sicherheitskriterien freigegeben oder blockiert.
7. Schritt 7: Ausnahmen dokumentieren: technische Gründe, Fristen und Nachprüfungen werden nachvollziehbar festgehalten.
8. Schritt 8: Freigabeprozess entwerfen: Sicherheitsnachweise werden in einen praktikablen Release-Ablauf überführt.

Praxisübungen

• Analyse eines Images auf Pakete und bekannte Schwachstellen
• Erstellung und Interpretation einer SBOM
• Bewertung mehrerer Basisimage-Varianten
• Definition eines einfachen Sicherheits-Gates für Builds

Zielgruppe und Voraussetzungen

Geeignet für DevOps Engineers, Security-Teams, Plattformteams, Release-Verantwortliche und technische Auditoren. Erforderlich sind Docker-Grundkenntnisse und Verständnis von Build- und Release-Abläufen.