Seminar OWASP Dependency-Track CI/CD-Integration für DevSecOps

Inhaltsübersicht

• SBOM-Erzeugung im Build
• Übergabe an Dependency-Track
• Bewertung von Findings im Release-Prozess
• Quality Gates und Rückmeldung an Teams

Seminarziel

Das Seminar zeigt, wie Dependency-Track als kontinuierliche Analyseplattform in moderne Build- und Release-Prozesse eingebunden wird. Der Schwerpunkt liegt auf reproduzierbarer SBOM-Erzeugung, automatischem Upload und einer praktikablen Rückmeldung an Entwicklung und Betrieb.

Zielgruppe

Geeignet für Teams, die Softwarelieferungen mit SBOMs absichern und Schwachstellen frühzeitig in bestehenden Pipeline-Strukturen sichtbar machen wollen.

Voraussetzungen

Erforderlich sind Grundkenntnisse in CI/CD-Werkzeugen, Build-Artefakten und Versionsverwaltung. Sicherheitswissen auf Grundlagenebene ist ausreichend.

Seminarinhalte

1. Pipeline-Ansatz planen

1. Build-Schritte und Artefaktgrenzen identifizieren
2. Zeitpunkt der SBOM-Erzeugung festlegen
3. Projektname und Version aus Pipeline-Variablen ableiten
4. Verantwortung für Findings im Teamprozess bestimmen

2. SBOM-Erzeugung einrichten

1. Geeignete Generatoren nach Technologie-Stack auswählen
2. CycloneDX-Ausgabe erzeugen und ablegen
3. Build-Artefakte und BOM-Versionen zusammenführen
4. Validierung und Fehlerbehandlung im Build ergänzen

3. Upload automatisieren

1. API-Schlüssel sicher in der Pipeline bereitstellen
2. BOM-Dateien mit Projektbezug übertragen
3. Automatische Projekterstellung kontrolliert einsetzen
4. Verarbeitungsstatus und technische Fehler prüfen

4. Quality Gates definieren

1. Schweregrade, Policy-Verletzungen und Statuswerte bewerten
2. Abbruchbedingungen und Warnstufen trennen
3. False Positives und Ausnahmen in den Prozess einordnen
4. Rückmeldungen an Entwickler verständlich formulieren

5. Teamprozess verankern

1. Findings in Tickets oder Boards überführen
2. Verantwortlichkeiten zwischen Entwicklung und Security regeln
3. Regelmäßige Nachverfolgung etablieren
4. Kennzahlen für Pipeline- und Portfolioqualität ableiten

Praktische Übungen

• Erstellen einer Beispiel-SBOM im Build-Kontext
• Automatischer Upload in ein Beispielprojekt
• Definition eines einfachen Quality Gates
• Ableitung einer Teamrückmeldung aus Findings und Policy-Verletzungen

Praxisnutzen

Die zweitägige Dauer ist erforderlich, weil technische Pipeline-Schritte und organisatorische Rückmeldeprozesse gemeinsam behandelt werden müssen.