Seminar Secure SDLC – Intensiv: Governance, DevSecOps und Betrieb

Seminarbeschreibung

Das Intensivseminar führt die organisatorischen und betrieblichen Aufgaben eines sicheren Entwicklungsprogramms zusammen. Eine bestehende Anwendung wird als Pilotprodukt aufgenommen, ihre Lieferpipeline abgesichert und eine kontrollierte Veröffentlichung vorbereitet. Anschließend wird eine neu bekannt gewordene Schwachstelle durch Bewertung, Korrekturplanung und Updatefreigabe bearbeitet.

Gebündelt werden die Einzelseminare zu Governance und Security Champions, CI/CD und DevSecOps, Software Supply Chain, Containern und sicherer Auslieferung, Schwachstellenmanagement sowie Bestandsmodernisierung. Die vorbereitete GitLab-CI/CD-Umgebung und ein einheitlicher Container- und Manifestfall ermöglichen praktische Arbeit innerhalb von fünf Tagen. Breite Plattformadministration und zusätzliche Übungsvarianten verbleiben in den Einzelseminaren. Die anwendungsbezogene Ergänzung bildet das Intensivseminar zur sicheren Entwicklung und Verifikation.

Die Fallorganisation übernimmt ein bestehendes Produkt in einen verbindlicheren Entwicklungs- und Wartungsprozess. Die einzelnen Aufgaben werden daher nicht isoliert konfiguriert: Rollenentscheidungen beeinflussen die Pipelineberechtigungen, Produktstände begrenzen die Aussagekraft einer SBOM und die Wartungsverpflichtung bestimmt den Umfang einer späteren Korrektur. Die Übungen verbinden diese Abhängigkeiten mit tatsächlichen Konfigurationsänderungen und nachprüfbaren Freigaben. Besonderes Augenmerk liegt auf technischen Kontrollausfällen und uneindeutigen Zuständigkeiten, weil diese den vorgesehenen Ablauf im Alltag häufig unterbrechen. Die Bearbeitung bleibt auf eine vorbereitete Plattform und ein Pilotprodukt begrenzt.

Inhaltsübersicht

1. Pilotprodukt, Reifegrad und Verantwortung
2. Bestandsrisiken und Veränderbarkeit
3. CI/CD-Plattform und Sicherheitsgates
4. Komponenten, SBOM und Herkunft
5. Container, Konfiguration und Veröffentlichung
6. Schwachstellen und sichere Wartung
7. Wirksamkeit und gesteuerte Einführung

Seminarinhalte

Pilotprodukt, Reifegrad und Verantwortung

• Geltungsbereich, Schutzbedarf und bestehende Prozesslücken eines Pilotprodukts erfassen.
• Rollen, Security Champions, Mindestkontrollen und geeignete Kennzahlen festlegen.
• Eine begrenzte Einführung mit Prioritäten, Ressourcen und überprüfbaren Nachweisen planen.

Bestandsrisiken und Veränderbarkeit

• Abhängigkeiten, technische Schulden und betriebliche Einschränkungen des Produkts bewerten.
• Erhaltenswertes Verhalten und unsichere Altannahmen durch gezielte Tests unterscheiden.
• Modernisierungsschritte und zeitlich begrenzte Kompensationsmaßnahmen priorisieren.

CI/CD-Plattform und Sicherheitsgates

• Repositoryänderungen, Runner und Jobberechtigungen nach Vertrauensgrenzen absichern.
• Geheimnisse gezielt bereitstellen und Prüfungen mit verbindlichen Abbruchkriterien integrieren.
• Ausnahmen, technische Prüfausfälle und unzulässige Konfigurationsänderungen nachvollziehbar behandeln.

Komponenten, SBOM und Herkunft

• Direkte und transitive Abhängigkeiten im gebauten Produkt erfassen.
• Eine SBOM mit dem Artefakt abgleichen und einen konkreten Befund auf Betroffenheit prüfen.
• Signatur, erwartete Identität, Provenienz und Artefaktdigest für eine Annahmeentscheidung verifizieren.

Container, Konfiguration und Veröffentlichung

• Image, Laufzeitrechte und Infrastrukturdefinitionen anhand konkreter Risiken härten.
• Geprüfte Artefakte und freigegebene Konfiguration ohne unkontrollierten Neubau bereitstellen.
• Richtlinienverletzung, fehlgeschlagene Einführung und technisch zulässige Rücknahme untersuchen.

Schwachstellen und sichere Wartung

• Eine neue Meldung unterstützten Versionen und tatsächlichen Installationen zuordnen.
• Priorität, Sofortmaßnahme, Korrektur, Backport und Nachprüfung organisieren.
• Sicherheitshinweis, Releasefreigabe und vorbeugende Prozessverbesserung aufeinander abstimmen.

Wirksamkeit und gesteuerte Einführung

• Technische Prüfnachweise mit Verantwortlichkeiten und Ausnahmeregeln zusammenführen.
• Einen Kontrollausfall simulieren und Eskalation beziehungsweise Wiederanlauf überprüfen.
• Offene Maßnahmen für weitere Teams sowie Wartung und Ablösung nachvollziehbar priorisieren.

Praxisübungen

1. Ein Pilotprodukt mit Rollen, Mindestkontrollen und offenen Bestandsrisiken aufnehmen.
2. Eine begrenzte Modernisierung mit passenden Regressionstests planen.
3. Die vorbereitete Pipeline an Repository, Runnern und Prüfungsübergängen absichern.
4. SBOM, Provenienz und Signatur eines Artefakts untersuchen und dessen Annahme entscheiden.
5. Image und Manifeste härten und eine kontrollierte Auslieferung durchführen.
6. Eine Schwachstellenmeldung über Triage, Updateplanung und Freigabe bearbeiten.
7. Den Gesamtablauf durch einen simulierten Kontrollausfall prüfen und weitere Maßnahmen festlegen.