Kurs · Schulung · Workshop
Container Supply Chain Security: The Practitioner's Journey
Schrittweise Absicherung der Container Supply Chain: Von Chaos zu kryptografisch verifizierbarem Vertrauen in vier praktischen Levels.
Dieser zweitägige Workshop führt Entwickler durch die Absicherung der Container Supply Chain – nicht mit theoretischen Frameworks, sondern durch eine hands-on Journey: vom unkontrollierten Status Quo über Transparenz und Kontrolle bis zu kryptografisch verifizierbarem Vertrauen. Jedes Level baut auf dem vorherigen auf und liefert sofort nutzbaren Mehrwert.
Trainer
Stimmen unserer Teilnehmer:innen
Diese Kunden haben Kurse im gleichen Themen-Cluster bei uns gebucht.Mehr Kunden →
Inhalt
Der Workshop folgt einem inkrementellen Ansatz, inspiriert vom Agile Manifesto: Working Protection over Comprehensive Documentation, Incremental Hardening over Big-Bang Security, Developer Experience over Security Theater, Automated Verification over Manual Audits.
Die Teilnehmenden durchlaufen vier Levels, die jeweils auf dem vorherigen aufbauen. Nach jedem Level haben sie ein funktionierendes Setup mit sofortigem Mehrwert. Der Workshop adressiert reale Angriffsvektoren der Software Supply Chain: kompromittierte Dependencies, manipulierte Build-Pipelines, unsichere Package Repositories.
Tag 1: Sehen, Verstehen, Kontrollieren
– Level 0 zu Level 1: Visibility (“Ich sehe, was passiert”):
- Threat Landscape: SLSA Vectors und Real-World Attacks
- Toolbox-Überblick: Harbor, Kyverno, Cosign, Slim, Copacetic
- Harbor Basics: Pull/Push, Projektstruktur, Vulnerability Reports
- Consuming 3rd Party Images: Harbor Proxy Cache für DockerHub/GHCR
- Image Insights mit Slim: xray und appbom auf 3rd Party Images
- Ergebnis: Eigene und fremde Images fliessen durch zentrale Registry, Vulnerabilities sind sichtbar
– Level 1 zu Level 2: Control (“Ich bestimme, was erlaubt ist”):
- 3rd Party Risks: Typosquatting, malicious Images, abandoned Packages
- Kyverno Registry Allowlist: Nur Harbor Proxy erlaubt, direkter Pull blockiert
- Verifying 3rd Party Signatures: cosign verify auf offizielle Images
- Generating SBOMs: Syft lokal und in CI
- Consuming Upstream SBOMs: Upstream-SBOM finden und lesen
- SBOM Policy: Kyverno blockiert Images ohne SBOM
- Ergebnis: Direkte Pulls blockiert, nur signierte/bekannte Upstreams erlaubt, SBOM-Pflicht durchgesetzt
Tag 2: Beweisen, Patchen, Reagieren
– Level 2 zu Level 3: Trust (“Ich kann es beweisen”):
- Signing und Attestations: Cosign, Keyless, SLSA Provenance
- Signing Images: Cosign keyless mit GitHub/GitLab OIDC
- Verifying Signatures: cosign verify, Rekor Transparency Log
- Kyverno Signature Policy: Nur signierte Images deployen
- SLSA Provenance: Generate und verify Attestations
- Ergebnis: Jedes Image ist signiert, Build Provenance ist attestiert
– Level 3 zu Level 4: Resilience (“Ich kann reagieren”):
- Cyber Resilience Act: Requirements, Timeline, Impact
- Patching Strategies: Rebuild vs. Patch-in-Place
- Copacetic: Vulnerable Base Image patchen und re-signen
- Outlook: SBoB und Runtime mit Falco
- Full Pipeline: Build, Scan, Patch, Sign, SBOM, Deploy
- Checklist und Next Steps
- Ergebnis: Unabhängige CVE-Response, komplette Pipeline operational
Du lernst diese Konzepte nicht nur kennen, sondern setzt sie auch praktisch um.
Der effektive Kursinhalt kann, abhängig von Trainer, Durchführung, Dauer und Konstellation der Teilnehmer:innen, von obigen Angaben abweichen.
In-House Kurs anfragen
Öffentlichen Termin anfragen
Kein passender öffentlicher Termin dabei? Trag dich unverbindlich ein – sobald genug Interesse besteht, planen wir einen neuen öffentlichen Termin und informieren dich zuerst.
Mehr über Container Supply Chain Security
Container Supply Chain Security befasst sich mit der Absicherung aller Komponenten und Prozesse in der Container-basierten Software-Lieferkette. Von der Entwicklung über Build-Pipelines bis zur Produktion müssen Vertrauen, Transparenz und Nachverfolgbarkeit gewährleistet sein. Das SLSA Framework bietet einen strukturierten Ansatz zur Implementierung von Supply Chain Security auf verschiedenen Levels.Weitere Ressourcen:
History
Container Supply Chain Security gewann nach hochkarätigen Angriffen wie SolarWinds (2020) und der Kompromittierung von Container Registries stark an Bedeutung. Diese Vorfälle zeigten, wie Angreifer vertrauenswürdige Software-Komponenten kompromittieren können.
Als Reaktion entwickelten Organisationen wie Google, die Linux Foundation und die CNCF Frameworks und Tools zur Verbesserung der Supply Chain Security. Das SLSA Framework, Sigstore (mit Cosign und Rekor) und Harbor entstanden aus der Notwendigkeit, standardisierte, skalierbare Lösungen zu schaffen. Dan Lorenc und das Sigstore-Team revolutionierten mit keyless signing die Code-Signierung.
Heute ist Container Supply Chain Security ein zentraler Bestandteil moderner DevSecOps-Praktiken und wird durch Regulierungen wie den EU Cyber Resilience Act weiter vorangetrieben. Tools wie Kyverno, Copacetic und Slim ermöglichen es Entwicklern, Security-Verantwortung zu übernehmen, ohne die Developer Experience zu beeinträchtigen. Der Fokus verschiebt sich von manuellen Audits zu automatisierter Verifikation und von Big-Bang Security zu inkrementellem Hardening.