Seminar DevSecOps: Sicherheitsprüfungen in CI/CD integrieren

Seminarbeschreibung

Eine Sicherheitsprüfung im Build ist nur dann hilfreich, wenn ihre Befunde verständlich sind und die Pipeline selbst vertrauenswürdig arbeitet. Das Seminar verbindet deshalb Prüfwerkzeuge mit geschützten Zugangsdaten, kontrollierten Runnern und nachvollziehbaren Freigabeentscheidungen. Die Auswahl der Prüfungen richtet sich nach dem Risiko der Anwendung und dem Entwicklungsablauf.

Eine vorhandene Pipeline dient als gemeinsame Ausgangsbasis. Schrittweise werden Prüfungen ergänzt, Ergebnisse zugeordnet und Regeln für neue sowie bereits bekannte Befunde umgesetzt. Besonderes Gewicht erhalten Änderungen aus nicht vertrauenswürdigen Branches, der Schutz von Release-Zugangsdaten und das kontrollierte Verhalten bei Ausfällen eines Prüfwerkzeugs. Die Übungen verwenden eine vorab abgestimmte CI/CD-Plattform.

Inhalte im Überblick

• Pipeline-Bedrohungen und Prüfstrategie
• Repository, Runner und Zugangsdaten
• SAST, Abhängigkeiten und Secrets prüfen
• Dynamische Tests und kurzlebige Umgebungen
• Quality Gates und Befundbearbeitung
• Durchgängiger Pipeline-Workshop

Zielgruppe

DevOps- und Build-Engineers, Entwickler, Security Champions, Plattformteams und technische Qualitätssicherung.

Voraussetzungen

Praktische Erfahrung mit Git, Branches, Merge Requests, YAML und einer CI/CD-Plattform. Eine bestehende Anwendung selbstständig bauen und testen zu können, wird vorausgesetzt.

Seminarinhalte

Pipeline-Bedrohungen und Prüfstrategie

• Vertrauensgrenzen zwischen Repository, Runner, Artefaktablage und Zielumgebung analysieren.
• Sicherheitsprüfungen nach Entwicklungsphase und Schutzbedarf auswählen.
• Werkzeugausfälle, Zeitlimits und Nachweisqualität bereits bei der Pipeline-Konzeption berücksichtigen.

Repository, Runner und Zugangsdaten

• Branch-Schutz, Reviewregeln und eingeschränkte Berechtigungen für technische Konten konfigurieren.
• Nicht vertrauenswürdige Änderungen von privilegierten Jobs und geschützten Secrets trennen.
• Runner-Isolation, kurzlebige Credentials und sichere Behandlung von Build-Artefakten umsetzen.

SAST, Abhängigkeiten und Secrets prüfen

• Statische Analyse passend zu Sprache und Framework in den Build aufnehmen.
• Direkte und transitive Abhängigkeiten sowie versehentlich eingecheckte Geheimnisse prüfen.
• Versionsgebundene Regeln, reproduzierbare Werkzeugaufrufe und maschinenlesbare Berichte verwenden.

Dynamische Tests und kurzlebige Umgebungen

• Eine isolierte Testumgebung für dynamische Prüfungen kontrolliert bereitstellen und entfernen.
• Authentifizierte Prüfungen mit Testkonten und begrenzten Scanprofilen durchführen.
• Testdaten, Protokolle und Artefakte ohne vertrauliche Produktionsinformationen verarbeiten.

Quality Gates und Befundbearbeitung

• Neue Befunde von bekannten Altlasten unterscheiden und Verantwortlichkeiten festlegen.
• Ausnahmen mit Begründung, Ablaufdatum und erneuter Bewertung verwalten.
• Risikobasierte Freigaberegeln statt unbewerteter Gesamtzahlen von Scannerfunden anwenden.

Durchgängiger Pipeline-Workshop

• Einen unsicheren Änderungsstand über mehrere Prüfungen erkennen und gezielt korrigieren.
• Einen fehlgeschlagenen Scannerlauf von einem tatsächlich unauffälligen Ergebnis unterscheiden.
• Freigabeinformationen, Prüfergebnisse und Artefaktidentität einem Release eindeutig zuordnen.

Praxisübungen

1. Ausgangspipeline ausführen und Vertrauensgrenzen sowie vorhandene Rechte dokumentieren.
2. Statische Analyse, Abhängigkeitsprüfung und Secret-Erkennung hinzufügen.
3. Eine kontrollierte Testumgebung mit dynamischer Prüfung verbinden.
4. Einen vorbereiteten Fehler erkennen, beheben und die Freigabe durch erneuten Build nachweisen.
5. Eine begründete Ausnahme befristen und das Verhalten bei Werkzeugausfall testen.

Schulungsumgebung

Vorbereitete CI/CD-Plattform mit Repository, geeignetem Runner und Laboranwendung. Analysewerkzeuge werden zum ausgewählten Technologiestack passend bereitgestellt; Installation und Grundkonfiguration der Plattform sind vorab abgeschlossen.

Seminarauswahl

Zur Übersicht und zu den empfohlenen Lernwegen