Seminar Cyscale – Code Security für GitHub und GitLab

Das Seminar integriert Quellcode-, Abhängigkeits-, Geheimnis- und IaC-Risiken aus GitHub und GitLab in den Cloud-Sicherheitskontext von Cyscale.

Zielsetzung

Repository-Connectoren und Scanner kontrolliert einrichten, Findings fachlich bewerten und Code-Risiken mit tatsächlich laufenden Cloud- und Kubernetes-Workloads korrelieren.

Inhaltsübersicht

1. Repository-Landschaft und Scope planen
2. GitHub- und GitLab-Connectoren einrichten
3. Code-Scanner und Finding-Arten bewerten
4. Repository und Runtime korrelieren
5. DevSecOps-Prozess operationalisieren

Schrittweise Seminarinhalte

1. Repository-Landschaft und Scope planen

1. Schritt 1: Organisationen, Gruppen, Projekte, Repositories und relevante Branches erfassen.
2. Schritt 2: Sicherheitskritische Anwendungen und Laufzeitumgebungen priorisieren.
3. Schritt 3: Zugriffsmodell für Repository-Connector und optionalen Scanner Runner festlegen.
4. Schritt 4: Abnahmekriterien für Repository-Abdeckung und Finding-Qualität definieren.

2. GitHub- und GitLab-Connectoren einrichten

1. Schritt 1: Connector für den verwendeten Repository-Provider anlegen.
2. Schritt 2: Zugriff auf ausgewählte Organisationen, Gruppen, Projekte und Repositories begrenzen.
3. Schritt 3: Provider-Sicherheitsmeldungen und Repository-Metadaten importieren.
4. Schritt 4: Synchronisation prüfen und fehlende Projekte oder Branches systematisch nachverfolgen.

3. Code-Scanner und Finding-Arten bewerten

1. Schritt 1: Abhängigkeits-, SAST-, IaC-, Secrets-, Supply-Chain- und Lizenzfindings unterscheiden.
2. Schritt 2: Scannerläufe für ausgewählte Repositories konfigurieren und Ergebnisse normalisieren.
3. Schritt 3: Datei, Zeile, Paket, Evidenz und Remediation für Stichproben verifizieren.
4. Schritt 4: False Positives, Duplikate und unklare Befunde mit definierten Kriterien behandeln.

4. Repository und Runtime korrelieren

1. Schritt 1: Repositories über Namen, Image-Metadaten, Registries und Workload-Kontext zuordnen.
2. Schritt 2: Automatische Zuordnungen prüfen und erforderliche manuelle Verknüpfungen festlegen.
3. Schritt 3: Findings nach tatsächlicher Ausführung, Exposition, Identitätszugriff und Kritikalität priorisieren.
4. Schritt 4: Überlappende Code- und Runtime-Befunde zu einem konsistenten Risikofall zusammenführen.

5. DevSecOps-Prozess operationalisieren

1. Schritt 1: Schweregrade und Behebungsfristen nach Finding-Art und Laufzeitkontext definieren.
2. Schritt 2: Tickets, Benachrichtigungen und Eskalationen für relevante Befunde konfigurieren.
3. Schritt 3: Behebung durch erneuten Scan und aktualisierte Runtime-Zuordnung verifizieren.
4. Schritt 4: Kennzahlen für Abdeckung, Alter, Behebungszeit und wiederkehrende Ursachen etablieren.

Praxisanteile

• Anbindung eines Beispiel-Repositories.
• Bewertung von SAST-, IaC-, Secrets- und Dependency-Findings.
• Korrelation eines Repository-Findings mit einem laufenden Container-Workload.

Zielgruppen

DevSecOps, Application Security, Entwicklung, Plattformteams, Cloud Security und Software-Lieferkettenverantwortliche.

Vorkenntnisse

Grundkenntnisse zu Git, GitHub oder GitLab, CI/CD, Abhängigkeiten und Infrastructure as Code.