Seminar SUSE Supply Chain Security mit OBS, BCI, Private Registry und NeuVector

Dieses Seminar konzentriert sich auf die Absicherung der Container-Lieferkette. Die behandelten Stationen reichen von Build-Eingaben und Base Images über Registry-Kontrollen bis zu Scanning, Policies und Runtime-Schutz.

Vier Tage sind erforderlich, weil Supply Chain Security kein Einzelwerkzeug ist. Erst die Verbindung aus Build-Herkunft, Image-Standard, Registry-Governance und Laufzeitkontrolle ergibt einen brauchbaren Schutz.

Inhaltsübersicht

• Risiken in containerisierten Lieferketten
• Build-Integrität mit OBS und kontrollierten Build-Eingaben
• Sichere BCI-basierte Images und Lifecycle-Regeln
• Registry-Governance mit Harbor-basierter Private Registry
• NeuVector für Scanning, Policy und Runtime-Schutz

Zielgruppe

DevSecOps Engineers, Security Architects, Plattformteams, Build-Verantwortliche und Betreiber kritischer Container-Plattformen.

Voraussetzungen

Gute Container-Kenntnisse, Grundlagen zu Kubernetes, Registry-Betrieb und CI/CD-Prozessen werden vorausgesetzt.

Seminarinhalte

1. Schritt 1: Lieferkette analysieren
   Build-Eingaben, Builds, Images, Registries, Deployments und Runtime-Ereignisse werden als zusammenhängende Angriffs- und Kontrollfläche modelliert.
2. Schritt 2: Build-Herkunft sichern
   OBS-Projekte, Paket-Repositories, Build-Abhängigkeiten, Versionen und Freigabepunkte werden auf Nachvollziehbarkeit und Manipulationsrisiken geprüft.
3. Schritt 3: Base Images kontrollieren
   BCI-basierte Images werden hinsichtlich Paketbestand, Härtung, Rebuild-Zyklen und Freigabe für Anwendungsteams standardisiert.
4. Schritt 4: Registry-Governance durchsetzen
   Harbor-basierte Projektstrukturen, Berechtigungen, Retention, Replikation und Scan-Regeln werden als Kontrollpunkte genutzt.
5. Schritt 5: Security Policies integrieren
   NeuVector-Scans, Compliance-Prüfungen, Admission-nahe Entscheidungen und Runtime-Regeln werden in den Lieferkettenprozess eingebettet.
6. Schritt 6: Betriebsmodell formulieren
   Ausnahmen, Eskalationen, Verantwortlichkeiten, Prüfzyklen und Nachweise werden als dauerhaftes DevSecOps-Betriebsmodell beschrieben.

Praktische Übungen

• Modellierung einer sicheren Container-Lieferkette
• Bewertung von Build- und Registry-Risiken
• Härtung eines BCI-basierten Images als freigegebenes Base Image
• Definition von Scan- und Policy-Gates
• Erstellung eines Betriebsmodells mit Ausnahmeprozess

Nutzen für den Betrieb

Die Lieferkette wird durchgängig kontrollierbar. Build, Image, Registry und Runtime Security greifen ineinander, statt als lose Einzellösungen nebeneinander zu stehen.