Seminar Sonatype Nexus Software Supply Chain Security mit Firewall und Lifecycle

Überblick

Dieses Seminar vermittelt Software Supply Chain Security mit Nexus Repository, Repository Firewall und Sonatype Lifecycle. Behandelt werden Schutzpunkte im Paketfluss, Richtlinien, Risikobewertung, Quarantäne- und Freigabeprozesse, CI/CD Gates und organisatorische Verantwortung. Drei Tage sind notwendig, weil technische Schutzmechanismen, Policy-Arbeit und Prozessintegration gemeinsam geübt werden.

Inhaltsverzeichnis

• Überblick
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praktische Übungen

Zielgruppe

DevSecOps Teams, Security-Verantwortliche, Plattformteams, Compliance-Rollen und technische Entscheider, die Open-Source-Risiken, Richtlinien und Nachvollziehbarkeit im Build-Prozess beherrschen müssen.

Voraussetzungen

Grundkenntnisse in Nexus Repository, CI/CD, Paketmanagement und IT-Security werden vorausgesetzt.

Seminarinhalte

Einordnung und Zielbild

1. Schritt 1: das Einsatzgebiet von Software Supply Chain Security im Softwarelieferprozess abgrenzen
2. Schritt 2: Rollen, Verantwortlichkeiten und Schnittstellen zwischen Entwicklung, Betrieb und Security festlegen
3. Schritt 3: bestehende Werkzeuge, Repositories und Paketquellen aufnehmen und priorisieren

Konfiguration und Standards

1. Schritt 1: Paketflüsse, Angriffspunkte und Schutzpunkte in Repository- und Build-Prozessen identifizieren
2. Schritt 2: Firewall-, Lifecycle- und Policy-Mechanismen in ein gemeinsames Kontrollmodell überführen
3. Schritt 3: CI/CD Gates, Quarantäne, Ausnahmen und Freigaben fachlich definieren

Betrieb und Qualitätssicherung

1. Schritt 1: Risikobefunde analysieren und priorisieren
2. Schritt 2: Policy-Verletzungen, Ausnahmen und Eskalationen nachvollziehbar bearbeiten
3. Schritt 3: Governance-Modell mit Rollen, Kennzahlen und wiederkehrenden Prüfungen erstellen

Praxisnahes Umsetzungsmuster

1. Schritt 1: eine Beispielkonfiguration vorbereiten und dokumentieren
2. Schritt 2: typische Fehlerbilder provozieren, analysieren und sauber beheben
3. Schritt 3: eine Checkliste für den produktiven Einsatz erstellen

Praktische Übungen

• Softwarelieferkette eines Beispielteams modellieren
• Policy- und Schutzpunkte für Paketbezug und Build bewerten
• Ausnahme- und Eskalationsprozess für riskante Komponenten entwerfen
• DevSecOps-Betriebsmodell mit Checkliste und Verantwortlichkeiten erstellen