Seminar Dependency Security – SCA und sichere Paketquellen

Seminarbeschreibung

Moderne Anwendungen übernehmen einen großen Teil ihrer Funktionalität aus externen Paketen. Dabei entstehen Risiken durch verwundbare Versionen, unklare Herkunft, vernachlässigte Projekte und unkontrollierte Abhängigkeiten innerhalb der Abhängigkeiten. Das Seminar vermittelt einen systematischen Umgang mit diesem Bestand. Ausgangspunkt ist die tatsächlich aufgelöste Softwarezusammensetzung. Darauf aufbauend werden Paketquellen, Versionsbindungen und Aktualisierungsregeln so gestaltet, dass fachliche Entscheidungen und technische Prüfungen zusammenpassen.

Ein vorbereitetes Projekt aus einem vereinbarten Paketökosystem dient als durchgängiges Beispiel. SCA-Befunde werden überprüft, direkte und transitive Abhängigkeiten unterschieden und Änderungen über Tests abgesichert. Die Laborübungen zeigen außerdem, warum ein Lockfile die Herkunft eines Pakets nicht allein bestätigt und warum ein hoher Schwachstellenscore keine vollständige Priorisierungsentscheidung ersetzt. Die Behandlung von Paketnamen und internen Quellen erfolgt ausschließlich mit kontrollierten Laborpaketen. Andere Ökosysteme werden vergleichend eingeordnet, ohne vollständige Mehrsprachigkeit der Übungen zu versprechen.

Inhaltsübersicht

1. Abhängigkeiten vollständig erfassen
2. Paketquellen und Namensräume schützen
3. SCA in den Entwicklungsablauf integrieren
4. Befunde priorisieren und entscheiden
5. Aktualisierungen kontrolliert durchführen
6. Komponentenfreigabe dauerhaft betreiben

Seminarinhalte

Modul 1: Abhängigkeiten vollständig erfassen

Kapitelinhalt: Direkte Pakete; Transitivität; Auflösung

• Manifeste, Lockfiles und den tatsächlich installierten Bestand miteinander vergleichen und Abweichungen erklären.
• Produktions-, Entwicklungs- und Build-Abhängigkeiten unterscheiden und dennoch deren Einfluss auf den Lieferprozess berücksichtigen.
• Transitive Abhängigkeiten bis zur verursachenden direkten Komponente zurückverfolgen und einen geeigneten Aktualisierungspunkt bestimmen.

Modul 2: Paketquellen und Namensräume schützen

Kapitelinhalt: Repository-Reihenfolge; interne Pakete; Herkunft

• Die Auflösungsreihenfolge interner und öffentlicher Quellen prüfen und ungewollte Ersatzquellen im Labor erkennen.
• Namensräume, Paketregistrierung und technische Konten so festlegen, dass interne Komponenten eindeutig zugeordnet bleiben.
• Risiken durch ähnlich benannte Pakete und unerwartete Installationsskripte in den Freigabeprozess aufnehmen.

Modul 3: SCA in den Entwicklungsablauf integrieren

Kapitelinhalt: Scan-Abdeckung; Datenstand; Befundqualität

• Ein passendes SCA-Werkzeug für das vereinbarte Ökosystem einsetzen und Scan-Ziel sowie Datenstand dokumentieren.
• Paketidentität und Versionszuordnung überprüfen, bevor ein Befund als bestätigte Betroffenheit übernommen wird.
• Technische Scanfehler, unvollständige Inventare und gefundene Schwachstellen mit unterschiedlichen Pipeline-Status behandeln.

Modul 4: Befunde priorisieren und entscheiden

Kapitelinhalt: Erreichbarkeit; Einsatzkontext; Ausnahmen

• Auswirkung, Exposition, vorhandene Schutzmaßnahmen und verfügbare Korrekturen gemeinsam zur Priorisierung heranziehen.
• Relevante Programmfunktionen im Beispielprojekt untersuchen und Unsicherheit bei der Erreichbarkeitsbewertung dokumentieren.
• Befristete Ausnahmen mit fachlicher Begründung, Verantwortlichen und Wiedervorlage von dauerhaften Unterdrückungslisten unterscheiden.

Modul 5: Aktualisierungen kontrolliert durchführen

Kapitelinhalt: Versionsbindung; Tests; Rollback

• Versionsbereiche, Lockfiles und Integritätsangaben nach einem geregelten Update aktualisieren und Änderungen nachvollziehen.
• Automatisierte Aktualisierungsvorschläge mit Review, Regressionstests und Freigaberegeln verbinden.
• Transitive Problemkomponenten durch geeignete direkte Updates ersetzen und funktionale Auswirkungen überprüfen.

Modul 6: Komponentenfreigabe dauerhaft betreiben

Kapitelinhalt: Pflegezustand; Lizenzen; Verantwortlichkeit

• Pflegezustand, Wartbarkeit und Austauschbarkeit eines Pakets neben bekannten Sicherheitsbefunden bewerten.
• Lizenzmetadaten und Herkunftsinformationen für einen geregelten internen Prüfprozess erfassen, ohne automatische Rechtsfreigaben abzuleiten.
• Eine wiederkehrende Überprüfung des ausgelieferten Bestands mit eindeutiger Produkt- und Versionszuordnung organisieren.

Praxisworkshop

Die Übungsschritte bauen aufeinander auf und werden an der vorbereiteten Laborumgebung durchgeführt.

1. Manifest, Lockfile und installierten Paketbaum des Laborprojekts gegenüberstellen.
2. Die konfigurierte Paketauflösung mit internen Testpaketen überprüfen und eine unerwünschte Quelle ausschließen.
3. Den SCA-Lauf ausführen und einen ausgewählten Befund bis zur verursachenden Abhängigkeit zurückverfolgen.
4. Eine geeignete Aktualisierung einspielen, Lockfile kontrollieren und Regressionstests ausführen.
5. Die Freigabeentscheidung einschließlich verbleibender Unsicherheiten dokumentieren und die wiederkehrende Überwachung konfigurieren.

Schulungsumgebung

Die Schulungsumgebung wird vom Kunden bereitgestellt. Vorbereitetes Projekt in einem abgestimmten Paketökosystem, passende SCA-Werkzeuge, isolierte Paketquelle und CI-Testpipeline. Paket- und Schwachstellendaten werden vorab auf Verfügbarkeit und Kompatibilität geprüft.

Die Übungen werden schrittweise angeleitet. Konfiguration, erwartetes Verhalten und kontrollierte Fehlersituationen werden gemeinsam ausgewertet. Die Werkzeugstände werden vor Beginn auf Kompatibilität geprüft.