Container Supply Chain Security: The Practitioner's Journey
Schulung & Kurs

Kursinhalt:

Der Workshop folgt einem inkrementellen Ansatz, inspiriert vom Agile Manifesto: Working Protection over Comprehensive Documentation, Incremental Hardening over Big-Bang Security, Developer Experience over Security Theater, Automated Verification over Manual Audits.

Die Teilnehmenden durchlaufen vier Levels, die jeweils auf dem vorherigen aufbauen. Nach jedem Level haben sie ein funktionierendes Setup mit sofortigem Mehrwert. Der Workshop adressiert reale Angriffsvektoren der Software Supply Chain: kompromittierte Dependencies, manipulierte Build-Pipelines, unsichere Package Repositories.

Tag 1: Sehen, Verstehen, Kontrollieren

– Level 0 zu Level 1: Visibility ("Ich sehe, was passiert"):
... - Threat Landscape: SLSA Vectors und Real-World Attacks
... - Toolbox-Überblick: Harbor, Kyverno, Cosign, Slim, Copacetic
... - Harbor Basics: Pull/Push, Projektstruktur, Vulnerability Reports
... - Consuming 3rd Party Images: Harbor Proxy Cache für DockerHub/GHCR
... - Image Insights mit Slim: xray und appbom auf 3rd Party Images
... - Ergebnis: Eigene und fremde Images fliessen durch zentrale Registry, Vulnerabilities sind sichtbar

– Level 1 zu Level 2: Control ("Ich bestimme, was erlaubt ist"):
... - 3rd Party Risks: Typosquatting, malicious Images, abandoned Packages
... - Kyverno Registry Allowlist: Nur Harbor Proxy erlaubt, direkter Pull blockiert
... - Verifying 3rd Party Signatures: cosign verify auf offizielle Images
... - Generating SBOMs: Syft lokal und in CI
... - Consuming Upstream SBOMs: Upstream-SBOM finden und lesen
... - SBOM Policy: Kyverno blockiert Images ohne SBOM
... - Ergebnis: Direkte Pulls blockiert, nur signierte/bekannte Upstreams erlaubt, SBOM-Pflicht durchgesetzt

Tag 2: Beweisen, Patchen, Reagieren

– Level 2 zu Level 3: Trust ("Ich kann es beweisen"):
... - Signing und Attestations: Cosign, Keyless, SLSA Provenance
... - Signing Images: Cosign keyless mit GitHub/GitLab OIDC
... - Verifying Signatures: cosign verify, Rekor Transparency Log
... - Kyverno Signature Policy: Nur signierte Images deployen
... - SLSA Provenance: Generate und verify Attestations
... - Ergebnis: Jedes Image ist signiert, Build Provenance ist attestiert

– Level 3 zu Level 4: Resilience ("Ich kann reagieren"):
... - Cyber Resilience Act: Requirements, Timeline, Impact
... - Patching Strategies: Rebuild vs. Patch-in-Place
... - Copacetic: Vulnerable Base Image patchen und re-signen
... - Outlook: SBoB und Runtime mit Falco
... - Full Pipeline: Build, Scan, Patch, Sign, SBOM, Deploy
... - Checklist und Next Steps
... - Ergebnis: Unabhängige CVE-Response, komplette Pipeline operational

Du lernst diese Konzepte nicht nur kennen, sondern setzt sie auch praktisch um.

Disclaimer: Der effektive Kursinhalt kann, abhängig vom Trainer, Durchführung, Dauer und Konstellation der Teilnehmer:innen von obigen Angaben abweichen.

Ob wir es Schulung, Kurs, Workshop, Seminar oder Training nennen, wir möchten Teilnehmer/innen an ihrem Punkt abholen und mit dem nötigen praktischen Wissen ausstatten, damit sie die Technologie nach der Schulung direkt anwenden und eigenständig vertiefen können.