Seminar OWASP secureCodeBox – CI/CD- und GitOps-Integration

Kontinuierliche Sicherheitsprüfungen müssen reproduzierbar ausgelöst, beobachtet und ausgewertet werden, ohne unkontrollierte Skriptlogik in jeder Pipeline zu verteilen. Das Seminar entwickelt ein standardisiertes Integrationsmodell für CI/CD, GitOps und kurzlebige Umgebungen.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Scans kontrolliert aus Build-, Release- und Deployment-Pipelines starten
• Manifeste, Helm-Werte und Scannerprofile versionsverwaltet bereitstellen
• Status, Findings und Fehler als maschinenlesbare Qualitätsentscheidung auswerten
• GitOps-Reihenfolge, Synchronisation, Promotion und Rollback gestalten
• Wiederverwendbare Pipeline- und Repository-Bausteine erstellen

Zielgruppe

DevOps, DevSecOps, CI/CD-Verantwortliche, Plattformteams, Softwarearchitekten, Security Engineers und Release Management.

Voraussetzungen

Erfahrung mit mindestens einem CI/CD-System, Git, Kubernetes-Manifeste, ServiceAccounts und grundlegende secureCodeBox-Scans.

Seminarinhalte

1. Schritt 1: Integrationspunkte im Lieferprozess bestimmen

   Quellcodeprüfung, Imageprüfung, Testumgebung, Vorabnahme, Produktion und periodische Nachprüfung werden mit klaren Zielen und Verantwortlichkeiten versehen.

2. Schritt 2: Pipeline-Identität absichern

   ServiceAccount, Token-Lebensdauer, Namespace, RBAC und Geheimnisse werden so gestaltet, dass die Pipeline nur erforderliche Scans erzeugen und lesen kann.

3. Schritt 3: Scanmanifeste versionieren

   Scannerprofil, Ziel, Parameter, Ressourcenlimits, Hooks und Aufbewahrung werden als überprüfbare Repository-Artefakte statt als unstrukturierte Inline-Befehle gepflegt.

4. Schritt 4: Scans aus der Pipeline auslösen

   Kubernetes-API, Manifestanwendung und scbctl werden hinsichtlich Portabilität, Fehlerbehandlung und Rückgabewerten verglichen und praktisch eingesetzt.

5. Schritt 5: Auf Abschluss und Status warten

   Polling, Watch, Zeitüberschreitung, Abbruch, Wiederholung und parallele Ausführung werden so implementiert, dass Pipelinezustände eindeutig bleiben.

6. Schritt 6: Findings als Quality Gate bewerten

   Schweregrad, Kategorie, Bestätigung, Neuheit, akzeptierte Risiken und Scannerfehler werden in eine transparente Entscheidungslogik überführt.

7. Schritt 7: Berichte und Nachweise sichern

   Statische Reports, Rohresultate, normalisierte Findings und Pipeline-Metadaten werden als nachvollziehbare Build- oder Release-Artefakte abgelegt.

8. Schritt 8: Kurzlebige Umgebungen prüfen

   Preview-Namespaces, dynamische URLs, Aufräumen, Time-to-Live und parallele Branches werden mit temporären Scans und klaren Scopes verbunden.

9. Schritt 9: GitOps-Synchronisation ordnen

   CRDs, Operator, ScanTypes, Hooks, Secrets-Verweise und Scanressourcen werden mit Abhängigkeiten, Sync-Wellen und Gesundheitsprüfungen ausgerollt.

10. Schritt 10: Promotion und Rollback gestalten

    Scanner- und Plattformversionen, Manifeständerungen, Freigaben, Rückrollkriterien und Kompatibilitätstests werden in einen geregelten Lebenszyklus eingebettet.

11. Schritt 11: Nachgelagerte kontinuierliche Scans ergänzen

    Periodische Scans und AutoDiscovery schließen die Lücke zwischen Deployment-Zeitpunkt und späteren Änderungen an Anwendungen, Images oder Schwachstellendaten.

12. Schritt 12: Standardbausteine bereitstellen

    Pipeline-Vorlage, Repository-Struktur, Scanprofil, Quality-Gate-Regel, Fehlercodekonvention und Betriebsübergabe werden als wiederverwendbares Muster dokumentiert.

Praxisübungen

• Einen Scan aus einer Beispielpipeline erzeugen und überwachen
• Ein Quality Gate mit Schweregrad und Risikoausnahme entwerfen
• Ein temporäres Scanverfahren für einen Preview-Namespace aufbauen
• GitOps-Reihenfolge für Operator, Scanner und Scans festlegen
• Eine wiederverwendbare Pipeline-Vorlage mit Fehlerpfaden erstellen

Methodik

Pipeline- und GitOps-Konzepte werden in kleinen, überprüfbaren Schritten umgesetzt. Der Schwerpunkt liegt auf stabilen Schnittstellen, eindeutigen Rückgabewerten und wiederverwendbarer Konfiguration.