Seminar Cyber Resilience Act – CI/CD Security und automatisierte Nachweise

Der CRA verlangt belastbare Prozesse über den Produktlebenszyklus. Manuelle Freigabelisten und verstreute Scanberichte skalieren dafür schlecht. Dieses Seminar zeigt, wie Sicherheitsanforderungen, Prüfungen und Nachweise als reproduzierbare Pipeline-Schritte umgesetzt werden.

Im Labor wird eine vorhandene Pipeline schrittweise gehärtet. Quellcode, Abhängigkeiten, Build-Runner, Secrets, Artefakte und Deployments werden als zusammenhängende Lieferkette betrachtet. Jeder relevante Kontrollpunkt erzeugt maschinenlesbare Ergebnisse und eine nachvollziehbare Entscheidung.

Seminarziel

Ziel ist eine CI/CD-Referenzpipeline, die Sicherheitsprüfungen früh ausführt, definierte Risiken blockiert und die für Freigabe, technische Dokumentation und PSIRT benötigte Evidenz automatisch bereitstellt.

Lernziele

• Bedrohungen und Vertrauensgrenzen einer Build- und Release-Pipeline analysieren
• Security Gates risikobasiert definieren und Fehlalarme beherrschbar behandeln
• SBOM, Scanergebnisse, Testprotokolle und Freigaben versioniert erzeugen
• Build-Provenance, Signaturen und Verifikationsschritte in Releases integrieren
• Ausnahmen mit Verantwortlichkeit, Ablaufdatum und Kompensationsmaßnahme steuern
• Evidenzpakete reproduzierbar einem Produktstand zuordnen

Inhalte

Pipeline-Bedrohungsmodell

• Schutz von Repository, Merge-Prozess, Runnern, Artefaktablagen und Deployment-Zielen
• Kurzlebige Identitäten, Least Privilege, Secret Handling und geschützte Branches
• Abhängigkeitspinning, vertrauenswürdige Quellen und isolierte Builds
• Risiken durch Buildskripte, Plug-ins, Actions und kompromittierte Entwicklerkonten

Automatisierte Kontrollen

• SAST, SCA, Secret Scanning, IaC-Prüfung, Container-Scanning und Security Tests
• Policy as Code für Schweregrade, Exploitierbarkeit, Lizenz- und Herkunftsregeln
• Quality Gates für Pull Requests, Releases und dringende Sicherheitsupdates
• Signierung, Verifikation, Provenance und unveränderliche Artefakte

Evidence as Code

• Eindeutige Verknüpfung von Commit, Build, SBOM, Testergebnis und Release
• Standardisierte Evidence-Bundles für technische Dokumentation und Audits
• Aufbewahrung, Integrität, Zugriffsschutz und automatische Aktualisierung
• Dashboards und Kennzahlen für offene Findings, Ausnahmen und Kontrollabdeckung

Praktische Übungen

• Pipeline mit mehreren Security-Scannern und abgestuften Gates erweitern
• Ein signiertes Release mit SBOM und Provenance erzeugen und verifizieren
• Policy-Ausnahme mit Genehmigung, Kompensation und Ablaufdatum modellieren
• Ein revisionsfähiges Evidenzpaket aus einem reproduzierten Build zusammenstellen

Zielgruppe

Adressiert werden Teams, die Build- und Release-Prozesse betreiben oder technische Sicherheitsnachweise ohne zusätzliche manuelle Parallelprozesse erzeugen müssen.