Seminar GLIMPS Malware: CI/CD- und Software-Supply-Chain-Schutz

Inhaltsübersicht

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
   • 1. Bedrohungsmodell und Prüfstrategie
   • 2. Pipeline-Integration
   • 3. Freigabe- und Blockierlogik
   • 4. Resilienz und Sicherheit
   • 5. Betrieb und Qualitätssicherung
4. Praxisübungen
5. Zielgruppe und Voraussetzungen
6. Methodik

Seminarprofil

Das Seminar integriert GLIMPS Malware Detect in Build-, Test- und Release-Pipelines. Quellpakete, Abhängigkeiten, Ressourcen und Auslieferungsartefakte werden nach einer klaren Richtlinie geprüft, ohne die Pipeline durch unkontrollierte Wartezeiten oder unsichere Geheimnisbehandlung zu destabilisieren.

Lernziele

• Bedrohungen und Prüfobjekte entlang der Software-Lieferkette bestimmen
• Analyseaufträge in geeigneten Pipeline-Stufen ausführen
• Freigabe-, Warn- und Blockierregeln risikobasiert formulieren
• API-Zugriff, Geheimnisse, Cache und Wiederholungen produktionsreif konfigurieren
• Tests, Protokollierung und Ausnahmeprozesse für den Regelbetrieb aufbauen

Schrittweise Seminarinhalte

1. Bedrohungsmodell und Prüfstrategie

1. Schritt 1: Quellarchive, Drittanbieterbibliotheken, Containerbestandteile, Installationspakete und Release-Artefakte inventarisieren.
2. Schritt 2: Vertrauensherkunft, Änderbarkeit und mögliche Manipulationspunkte je Objekt bewerten.
3. Schritt 3: Prüfzeitpunkt, Prüfintensität und erwartete Reaktionszeit je Pipeline-Stufe festlegen.
4. Schritt 4: Ergebniszustände und Eigentümer für technische sowie sicherheitsfachliche Entscheidungen definieren.

2. Pipeline-Integration

1. Schritt 1: Token und Endpunkt über die Geheimnisverwaltung der Pipeline bereitstellen.
2. Schritt 2: Artefakte eindeutig identifizieren, einreichen und mit Build- sowie Commit-Kontext kennzeichnen.
3. Schritt 3: Asynchrone Analyse mit Polling, Backoff und maximaler Wartezeit umsetzen.
4. Schritt 4: Berichte und relevante Befunde als maschinenlesbare Pipeline-Ergebnisse speichern.

3. Freigabe- und Blockierlogik

1. Schritt 1: Blockierende, warnende und rein protokollierende Regeln voneinander trennen.
2. Schritt 2: Unklare, technisch fehlgeschlagene oder zeitlich abgebrochene Analysen gesondert behandeln.
3. Schritt 3: Ausnahmen mit Ablaufdatum, Begründung und Genehmigung versehen.
4. Schritt 4: Wiederholbare Entscheidungstabellen für Entwicklung, Security und Release Management erstellen.

4. Resilienz und Sicherheit

1. Schritt 1: Cache-Nutzung, erneute Analyse und bewusste Cache-Umgehung für definierte Risiken festlegen.
2. Schritt 2: Netzfehler, Dienstunterbrechung und hohe Last durch Retry-Budget und Queueing abfangen.
3. Schritt 3: Geheimnisse aus Logs, Artefakten und Fehlermeldungen fernhalten.
4. Schritt 4: Berechtigungen, Netzwerkpfade und Zertifikatsprüfung nach Minimalprinzip konfigurieren.

5. Betrieb und Qualitätssicherung

1. Schritt 1: Testartefakte für saubere, schädliche, beschädigte und zu große Dateien bereitstellen.
2. Schritt 2: Pipeline-Tests für Normalpfad, Blockierung, Timeout und Dienstfehler automatisieren.
3. Schritt 3: Kennzahlen für Durchlaufzeit, Treffer, Fehler, Cache und Ausnahmen erfassen.
4. Schritt 4: Runbook für Störung, Freigabe unter Vorbehalt, Wiederanlauf und Nachprüfung erstellen.

Praxisübungen

1. Einbau einer Dateiprüfung in eine beispielhafte Build-Pipeline
2. Entwicklung einer risikobasierten Gate-Entscheidung mit vier Ergebniszuständen
3. Störungstest mit Timeout, API-Ausfall und abgelaufenem Token
4. Erstellung eines Ausnahme- und Nachprüfprozesses für Release Management

Zielgruppe und Voraussetzungen

Zielgruppe: DevSecOps, Softwareentwicklung, Build- und Release-Engineering, Plattformteams, Application Security und Security Architecture

Voraussetzungen: Praxiskenntnisse in CI/CD, Skripting, HTTP-APIs, Geheimnisverwaltung und Software-Freigabeprozessen

Methodik

Fachliche Einordnung, technische Demonstration und praktische Umsetzung wechseln sich ab. Jeder Themenblock folgt derselben belastbaren Reihenfolge: Ziel und Risiko bestimmen, Konfiguration oder Analyse durchführen, Sollzustand prüfen, Fehlerfall testen und den wiederholbaren Betriebsablauf dokumentieren.