Seminar Syft + Grype Intensivseminar Complete - SBOM, Scanning und DevSecOps

Überblick

Das Intensivseminar fasst die Inhalte der Einzel- und Aufbauseminare in einem kompakten fünftägigen Lernpfad zusammen. Es deckt Syft-Grundlagen, Grype-Scanning, CI/CD-Automatisierung, Policy Gates, Reporting, Auditfähigkeit und Enterprise-Betrieb ab.

Inhaltsübersicht

• Grundlagen von SBOM und Vulnerability Scanning
• Syft für Bestandsdaten und Formate
• Grype für Scans, Findings und Priorisierung
• CI/CD, Quality Gates und Freigaben
• Reporting, Audit und Enterprise-Betrieb

Seminarinhalte

Modul 1: Grundlagen und Werkzeugkette

1. SBOM und Schwachstellenscan fachlich trennen
2. Syft und Grype in DevSecOps einordnen
3. Typische Einsatzszenarien und Grenzen festlegen

Modul 2: Syft vertieft einsetzen

1. Images, Verzeichnisse und Archive katalogisieren
2. SPDX, CycloneDX und Syft JSON erzeugen
3. SBOM-Qualität und Artefaktbezug prüfen

Modul 3: Grype vertieft einsetzen

1. Images und SBOMs scannen
2. Findings nach Severity, Fix-Status und Kontext auswerten
3. False Positives und Ausnahmen kontrolliert behandeln

Modul 4: Automatisierung und Gates

1. Syft und Grype in Pipelines platzieren
2. Quality Gates mit realistischen Regeln definieren
3. Nachweise im Release-Prozess ablegen

Modul 5: Betrieb, Audit und Skalierung

1. Standardprofile für Teams entwickeln
2. Reporting und Nachweisführung organisieren
3. Betrieb in größeren Toolchains planen

Praktische Übungen

• Durchgängige Prüfung eines Beispiel-Artefakts von SBOM bis Grype-Report
• Aufbau eines Pipeline-Konzepts mit Gate-Regeln
• Erstellung eines auditfähigen Nachweispakets mit Risikoentscheidung

Zielgruppe

Teams, die Syft und Grype nicht nur ausprobieren, sondern fachlich sauber, automatisiert und prüfbar in Entwicklungs- und Betriebsprozesse einführen wollen.

Voraussetzungen

Gute Linux- und Container-Grundkenntnisse, Erfahrung mit Build- oder Release-Prozessen sowie Grundverständnis für IT-Security.