DevSecOps und sichere Software-Lieferketten

Für wen

Softwareentwicklerinnen und -entwickler, Software- und Lösungsarchitekten, DevOps-, Platform- und Cloud-Engineers, Build- und Release-Verantwortliche, Application- und Product-Security-Spezialisten sowie technische Projektleitungen, die Sicherheit in Entwicklung, Build und Auslieferung verankern wollen.

Voraussetzungen

• Grundlegende Erfahrung mit Git und Pull Requests
• Den prinzipiellen Ablauf einer CI/CD-Pipeline kennen
• Anwendungen mit einem Paket- oder Build-Manager erstellen können
• Grundkenntnisse zu Containern und Docker
• Grundsätzliche Vertrautheit mit typischen Software-Schwachstellen
• Kein Vorwissen zu SLSA, SBOM, Sigstore oder dem Cyber Resilience Act nötig

Danach können Sie

• Angriffsflächen und Vertrauensgrenzen einer Software-Lieferkette identifizieren und ein projektspezifisches Bedrohungsmodell erstellen
• NIST SSDF und OWASP SAMM auf ein konkretes Projekt übertragen und Repository, Branches und Releases angemessen schützen
• Risiken direkter und transitiver Abhängigkeiten bewerten sowie Dependency Confusion und Typosquatting erschweren
• SAST, SCA, Secret-, IaC- und Container-Scanning sinnvoll kombinieren und mit tragfähigen Quality Gates steuern
• CI/CD-Berechtigungen, Runner, Secrets und Caches härten und Builds reproduzierbar und nachvollziehbar machen
• SBOMs in SPDX und CycloneDX erzeugen, auf Qualität prüfen und Schwachstellen mit VEX nach Risiko priorisieren
• Build-Provenance und Attestierungen erstellen, Artefakte mit Cosign signieren und vor dem Deployment verifizieren
• SLSA-Reifegrade beurteilen, eine Gap-Analyse erstellen und technische Nachweise für Audit-, Kunden- und CRA-Prozesse vorbereiten