Seminar OWASP Dependency-Track Advanced DevSecOps Engineering

Inhaltsübersicht

• Architektur eines SBOM-basierten DevSecOps-Prozesses
• Automatisierte Projektanlage und BOM-Verarbeitung
• Policy Gates, Build-Entscheidungen und Ausnahmeprozesse
• API-gestützte Auswertungen und technische Betriebsmodelle

Seminarziel

Das Seminar vermittelt, wie Dependency-Track nicht nur als Auswertungssystem, sondern als technischer Bestandteil einer belastbaren DevSecOps-Kette eingesetzt wird. Der Schwerpunkt liegt auf reproduzierbaren Abläufen, klaren Schnittstellen, automatisierten Prüfungen und einem kontrollierten Umgang mit Ausnahmen.

Zielgruppe

Geeignet für technische Teams, die bestehende Build- und Release-Strecken mit SBOM-Erzeugung, automatischer Übergabe, Risikobewertung und Rückmeldung in Entwicklungssysteme verbinden.

Voraussetzungen

Erforderlich sind praktische Erfahrungen mit Build-Pipelines, Repository-Strukturen, Artefaktversionierung und grundlegenden Security-Prozessen. Kenntnisse in REST-APIs und Skripting erleichtern die Übungen.

Seminarinhalte

1. DevSecOps-Zielbild festlegen

1. Softwareportfolio, Build-Prozesse und Verantwortlichkeiten erfassen
2. SBOM-Erzeugung als verbindlichen Schritt im Build definieren
3. Risikoklassen und Entscheidungspunkte für Releases festlegen
4. Technische Grenzen zwischen Scanner, SBOM und kontinuierlicher Analyse herausarbeiten

2. Projekt- und Versionsmodell automatisieren

1. Namenskonventionen für Projekte und Versionen festlegen
2. Automatische Projektanlage über definierte Parameter planen
3. Projektbeziehungen und Parent-Child-Strukturen modellieren
4. Fehlerfälle bei doppelten Namen, Snapshots und Release-Versionen behandeln

3. SBOM-Pipeline bauen

1. SBOM-Generatoren nach Technologie-Stack auswählen
2. BOM-Dateien erzeugen, versionieren und validieren
3. Upload über API und Pipeline-Plugins einrichten
4. Verarbeitungsergebnisse prüfen und technische Rückmeldungen auswerten

4. Policy Gates entwickeln

1. Schwellwerte für Kritikalität, Lizenzstatus und Komponentenalter festlegen
2. Policy-Verletzungen in Build-Entscheidungen übersetzen
3. Ausnahmen dokumentiert und zeitlich begrenzt behandeln
4. Freigabeprozesse zwischen Entwicklung, Security und Betrieb definieren

5. Auswertungen und Schnittstellen nutzen

1. API-Abfragen für Projekte, Komponenten und Findings strukturieren
2. Reports für technische Teams und Management vorbereiten
3. Benachrichtigungen an Ticketsysteme und Chat-Kanäle anbinden
4. Wiederkehrende Prüfjobs für Portfolio-Transparenz erstellen

6. Betrieb und Fehleranalyse stabilisieren

1. Typische Upload-, Parsing- und Matching-Fehler diagnostizieren
2. Datenquellen, Queue-Verarbeitung und Hintergrundjobs überwachen
3. Performance- und Aufbewahrungsparameter bewerten
4. Betriebsdokumentation für wiederholbare Abläufe erstellen

Praktische Übungen

• Aufbau einer mehrstufigen Beispielpipeline mit SBOM-Erzeugung
• Automatischer BOM-Upload mit Projektanlage und Versionspflege
• Definition eines Policy Gates mit kontrolliertem Abbruchkriterium
• API-Abfrage für Portfolio-Risiken und Übergabe an einen Workflow

Praxisnutzen

Nach dem Seminar liegt ein technisches Vorgehensmodell für wiederholbare SBOM-Prozesse, Policy-Entscheidungen und API-gestützte Auswertungen vor. Die Dauer von vier Tagen ist notwendig, weil Architektur, Pipeline-Bau, Policy-Logik und technische Fehleranalyse praktisch zusammenspielen.