Seminar MobSF CI/CD und DevSecOps mit mobsfscan

Seminarprofil

Der Kurs integriert mobile Quellcodeanalyse früh in den Entwicklungsprozess. mobsfscan wird lokal und in Build-Pipelines für Java, Kotlin, Android XML, Swift und Objective-C eingesetzt; MobSF ergänzt die Analyse von Binärartefakten. Behandelt werden Ausgabeformate, Quality Gates, Baselines, sichere Pipeline-Secrets und eine abgestufte Scanstrategie für Commit, Merge Request und Release.

Inhaltsübersicht

• Scanstrategie im Entwicklungszyklus
• mobsfscan lokal einsetzen
• Pipeline-Implementierung
• Quality Gates und Baselines
• Zusammenspiel mit MobSF

Lernziele

• mobsfscan lokal und in automatisierten Pipelines reproduzierbar ausführen
• Quellcode- und Binäranalyse zu einer abgestuften mobilen DevSecOps-Kontrolle verbinden
• Ausgabeformate, Exit Codes, Baselines und Quality Gates sinnvoll konfigurieren
• Pipeline-Secrets, Artefakte und Befunddaten sicher handhaben

Seminarinhalte

Modul 1: Scanstrategie im Entwicklungszyklus

1. Schritt 1: Prüfziele für Commit, Merge Request, Nightly Build und Release unterscheiden.
2. Schritt 2: Quellcode-Scan, Binärscan und dynamischen Test dem passenden Zeitpunkt zuordnen.
3. Schritt 3: Laufzeitbudget und Fehlertoleranz pro Pipeline-Stufe festlegen.
4. Schritt 4: Verantwortlichkeiten für Triage, Ausnahme und Nachprüfung definieren.

Modul 2: mobsfscan lokal einsetzen

1. Schritt 1: Android- und iOS-Quellcodepfade sowie automatische Regelauswahl prüfen.
2. Schritt 2: Konsolen-, JSON-, SARIF-, SonarQube- und HTML-Ausgaben nach Zielsystem auswählen.
3. Schritt 3: Konfigurationsdatei, Ausschlüsse, Multiprocessing und Exit-Verhalten einstellen.
4. Schritt 4: Lokale Ergebnisse mit nachvollziehbaren Testfällen und Regelbezügen verifizieren.

Modul 3: Pipeline-Implementierung

1. Schritt 1: Einen isolierten Scanjob mit reproduzierbarer Werkzeugversion erstellen.
2. Schritt 2: Quellcodezugriff, Cache, Arbeitsverzeichnis und Ausgabeablage minimal berechtigen.
3. Schritt 3: Ergebnisartefakte und maschinenlesbare Findings an die Pipeline übergeben.
4. Schritt 4: Abbruch, Warnung und Fortsetzung abhängig von Schwere und Pipeline-Stufe konfigurieren.

Modul 4: Quality Gates und Baselines

1. Schritt 1: Neue Befunde von Altlasten und bereits akzeptierten Ausnahmen trennen.
2. Schritt 2: Schwellenwerte nach Schwere, Regelklasse und betroffener Komponente festlegen.
3. Schritt 3: Baselines versionsgebunden pflegen und unbegrenzte Suppression vermeiden.
4. Schritt 4: Gate-Entscheidungen mit Begründung und Nachprüfung revisionsfähig protokollieren.

Modul 5: Zusammenspiel mit MobSF

1. Schritt 1: Release-Artefakte nach erfolgreichem Build an MobSF übergeben.
2. Schritt 2: Quellcode- und Binärbefunde nach Regel, Datei und Komponente zusammenführen.
3. Schritt 3: Asynchrone Scans, API-Status und Pipeline-Timeouts koordinieren.
4. Schritt 4: Einen mehrstufigen Referenzprozess vom Commit bis zur Freigabe dokumentieren.

Praxisübungen

• Einrichtung eines lokalen mobsfscan-Profils für Android- und iOS-Code
• Aufbau einer CI-Pipeline mit maschinenlesbarem Bericht und Quality Gate
• Kopplung eines Release-Binärscans an eine MobSF-Instanz

Zielgruppe

DevSecOps Engineers, Mobile-Entwickler, Build- und Release-Teams, AppSec-Verantwortliche sowie Plattformteams.

Vorkenntnisse

Grundkenntnisse in CI/CD, Versionsverwaltung und mindestens einer mobilen Programmiersprache. YAML- und Kommandozeilenerfahrung wird vorausgesetzt.