Seminar DevSecOps Grundlagen – Sichere Softwarelieferung etablieren

Seminarbeschreibung

DevSecOps verankert Sicherheitsarbeit in den wiederkehrenden Abläufen von Entwicklung und Betrieb. Das Seminar schafft ein gemeinsames Verständnis dafür, welche Risiken entlang einer Softwarelieferkette entstehen und an welcher Stelle eine Kontrolle tatsächlich wirksam werden kann. Dazu wird ein überschaubares Beispielprojekt von der Änderung im Repository über den Build bis zur Veröffentlichung verfolgt. Sicherheitsaufgaben werden Verantwortlichen zugeordnet und mit nachvollziehbaren Entscheidungen verbunden. Der Schwerpunkt liegt auf einem umsetzbaren Einstieg mit begrenztem Werkzeugumfang.

Die Übungen führen in die Auswertung automatisierter Prüfungen und den Aufbau eines einfachen Quality Gates ein. Dabei werden bestätigte Befunde, technische Fehler und genehmigte Ausnahmen getrennt behandelt. Grundbegriffe wie SAST, SCA, SBOM, Signierung und Provenance werden am konkreten Ablauf erläutert. Eine kleine Bestandsaufnahme und die Planung eines Pilotprojekts ergänzen die technische Arbeit. Das Seminar setzt weder eine vollständige Sicherheitsplattform noch eine bereits ausgereifte DevOps-Organisation voraus; vorhandene Git- und Betriebserfahrung ermöglicht jedoch einen zügigen Einstieg in die Laboraufgaben.

Inhaltsübersicht

1. DevSecOps im Entwicklungs- und Betriebsalltag
2. Die Softwarelieferkette verstehen
3. Sicherheitsprüfungen sinnvoll einordnen
4. Ein erstes Quality Gate umsetzen
5. Softwarebestand und Artefakte zuordnen
6. Einführung und kontinuierliche Pflege

Seminarinhalte

Modul 1: DevSecOps im Entwicklungs- und Betriebsalltag

Kapitelinhalt: Verantwortung; Zusammenarbeit; Sicherheitsarbeit

• Entwicklungs-, Betriebs- und Security-Aufgaben entlang eines Beispiel-Releases zuordnen und Übergaben sichtbar machen.
• Sicherheitsanforderungen in Arbeitsaufträge und überprüfbare Abnahmekriterien übersetzen.
• Rollen wie Product Owner, Plattformverantwortung und Security Champions mit klaren Zuständigkeiten verbinden.

Modul 2: Die Softwarelieferkette verstehen

Kapitelinhalt: Quellcode; Build; Auslieferung

• Interne und externe Bestandteile einer Lieferstrecke erfassen, einschließlich Werkzeuge, Paketquellen und technischer Konten.
• Änderungsbefugnisse, Vertrauensgrenzen und besonders weitreichende Zugriffe im Beispielprojekt erkennen.
• Schutz von Anwendungsfunktionen und Schutz der Lieferinfrastruktur als ergänzende Aufgaben einordnen.

Modul 3: Sicherheitsprüfungen sinnvoll einordnen

Kapitelinhalt: SAST; SCA; dynamische Tests

• Prüfverfahren nach Eingabedaten, Aussagekraft und sinnvollem Zeitpunkt in der Pipeline unterscheiden.
• Vorgegebene Befunde lesen und die Grenzen automatisierter Erkennung an einfachen Beispielen nachvollziehen.
• Scanner-Ausfälle und unvollständige Testabdeckung erkennen, statt einen fehlenden Fund als Freigabenachweis zu behandeln.

Modul 4: Ein erstes Quality Gate umsetzen

Kapitelinhalt: Schwellwerte; Ausnahmen; Fehlerzustände

• Einen vorbereiteten Prüfjob in eine Beispielpipeline einbinden und seine Rückgabewerte auswerten.
• Eine nachvollziehbare Sperrregel für ausgewählte bestätigte Befunde definieren.
• Einen Fehlerfall und eine befristete Ausnahme testen und die Verantwortlichkeit für Freigaben festhalten.

Modul 5: Softwarebestand und Artefakte zuordnen

Kapitelinhalt: SBOM; Digest; Herkunft

• Eine vorbereitete Komponentenliste mit dem gebauten Artefakt und der veröffentlichten Version verbinden.
• Den Unterschied zwischen Inventar, Sicherheitsbewertung, Signatur und Build-Nachweis anhand von Beispieldaten erklären.
• Einen veränderten Artefaktstand erkennen und den Bedarf an erneuter Prüfung nachvollziehen.

Modul 6: Einführung und kontinuierliche Pflege

Kapitelinhalt: Pilotprojekt; Prioritäten; Kennzahlen

• Einen begrenzten Einführungsumfang mit Zuständigkeiten, Reihenfolge und realistischen Akzeptanzkriterien entwickeln.
• Prüfzeiten, Bearbeitungsdauer und Ausnahmen als Hinweise auf die Wirksamkeit des Prozesses auswerten.
• Regelmäßige Überprüfung von Werkzeugen, Berechtigungen und Regeln in den Betriebsablauf aufnehmen.

Praxisworkshop

Die Übungsschritte bauen aufeinander auf und werden an der vorbereiteten Laborumgebung durchgeführt.

1. Den Weg einer vorgegebenen Quellcodeänderung bis zum Release dokumentieren.
2. Drei relevante Risiken und die jeweils verantwortlichen Rollen bestimmen.
3. Einen vorbereiteten Scanner ausführen und bestätigte Befunde von technischen Fehlern unterscheiden.
4. Eine einfache Freigaberegel in die Testpipeline übernehmen und ihre Sperrwirkung überprüfen.
5. Für ein Pilotprojekt eine priorisierte Liste der nächsten Kontrollen mit überprüfbaren Abnahmekriterien erstellen.

Schulungsumgebung

Die Schulungsumgebung wird vom Kunden bereitgestellt. Vorbereitete Linux-Arbeitsplätze mit Git, Beispielrepository, einer einfachen CI-Pipeline sowie bereitgestellten Scan- und Artefaktdaten. Die Werkzeuge sind vor Beginn funktionsfähig eingerichtet.

Die Übungen werden schrittweise angeleitet. Konfiguration, erwartetes Verhalten und kontrollierte Fehlersituationen werden gemeinsam ausgewertet. Die Werkzeugstände werden vor Beginn auf Kompatibilität geprüft.