DevSecOps-Schulung auf dem Stack, den Ihr Team tatsächlich betreibt
Praktische Workshops für Entwicklungs-, Plattform- und DevOps-Teams, aufgebaut auf Ihren eigenen Pipelines, Ihrem Infrastruktur-Code und Ihrer Cloud-Umgebung. Sicherheit, die sich in die Auslieferung einfügt, statt ihr im Weg zu stehen.
Überblick
Warum allgemeine DevSecOps-Kurse selten eine Pipeline verändern
Die meisten DevSecOps-Kurse zeigen eine Referenz-Pipeline, die Ihrer nicht ähnelt. Die Teilnehmenden nicken, kehren zu ihren eigenen Repositories zurück und ändern wenig, weil die Übertragung auf ihre Werkzeuge ihnen in einer vollen Woche selbst überlassen bleibt.
Black Fox schult auf Ihrem Stack. Vor dem Workshop sehen wir uns Ihre Pipelines, Ihren Infrastruktur-Code, Ihre Container-Images und Ihre Cloud-Konfiguration an und bauen die Übungen darum herum. Das Material stammt aus dem, was wir beim Testen und Prüfen ähnlicher Systeme finden: Secrets in Build-Logs, Pipeline-Tokens mit zu vielen Rechten, freizügige Cloud-Voreinstellungen, nicht fixierte Abhängigkeiten und Sicherheitsprüfungen, die alle zu ignorieren gelernt haben.
Das Ziel ist praktisch. Die Teilnehmenden wissen danach, welche Prüfung wohin gehört, wie sie schnell und ruhig genug bleibt, dass ihre Ergebnisse gelesen werden, und wie Bedrohungsmodellierung in die Planung kommt, ohne ein zusätzliches Meeting, zu dem niemand erscheint.
Für wen es gedacht ist
Entwicklungs-, Plattform- und DevOps-Teams, die Pipelines, Infrastruktur-Code und Cloud-Umgebungen verantworten, Organisationen, die DevSecOps-Praktiken einführen und wollen, dass ihre Teams sie selbst tragen, und Unternehmen, die sich auf Sicherheitsprüfungen durch Kunden, Penetrationstests oder Rahmenwerke vorbereiten, die Schulungen zur sicheren Entwicklung erwarten.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Sicherheit in CI/CD-Pipelines
Die Pipeline selbst und ihre Prüfungen absichern: Rechte von Runnern und Tokens, geschützte Branches, signierte Artefakte und der richtige Platz für statische Analyse, Abhängigkeits- und Image-Scans, zum Beispiel mit den Werkzeugen, die Sie bereits haben.
Infrastructure as Code
Typische Fehlkonfigurationen unter anderem in Terraform, Kubernetes-Manifesten oder Helm-Charts, wie Policy-Prüfungen sie vor dem Deployment abfangen und wie man Infrastrukturänderungen wie Anwendungscode reviewt.
Container- und Cloud-Konfiguration
Schlanke und gepatchte Images, Laufzeitrechte, Netzwerkexposition, Identitäten und Zugriffe in der Cloud, Protokollierung und die Voreinstellungen, die man vom ersten Tag an ändern sollte.
Abhängigkeiten und Lieferkette
Bekannt verwundbare und verwaiste Pakete, Versionsfixierung und Update-Routinen, Software-Stücklisten (SBOM), Herkunftsnachweise und das Vorgehen, wenn ein vorgelagertes Paket kompromittiert ist.
Umgang mit Secrets
Zugangsdaten aus Code, Images und Logs heraushalten, einen Secrets-Manager nutzen, kurzlebige Zugangsdaten, offengelegte Secrets in der Historie finden und ohne Ausfall austauschen.
Gates und Bedrohungsmodellierung im Teamrhythmus
Entscheiden, welche Feststellungen einen Build stoppen und welche nur berichten, Prüfungen gegen Rauschen abstimmen und kurze Bedrohungsmodellierungen, die in Refinement oder Design-Review passen.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Teams, Themen, Format und Sprache und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Blick auf den Stack
Wir sehen uns eine Auswahl Ihrer Pipelines, Ihres Infrastruktur-Codes und Ihrer Cloud-Umgebung an, über Zugänge, die Sie steuern, um die Beispiele und Übungen zu wählen, die für Sie zählen.
Anpassung
Wir bauen den Workshop um Ihre Werkzeuge, Ihre Plattformen und die gefundenen Themen, in einer Tiefe, die zu den Teilnehmenden passt.
Workshops
Praktische Sitzungen online oder vor Ort, auf Deutsch, Englisch oder Französisch, mit Übungen an Ihren eigenen Repositories oder an einer sicheren Kopie davon.
Nachbereitung
Eine Zusammenfassung der Inhalte, der aufgekommenen Themen und praktischer nächster Schritte, dazu Zeit für Fragen, wenn das Team die Änderungen ausprobiert hat.
Was Sie erhalten
- Mit Ihrer Entwicklungsleitung abgestimmter Schulungsplan
- Auf Ihren Stack und Ihre Werkzeuge zugeschnittene Workshops
- Übungen und Beispiele aus Ihren eigenen Pipelines und Ihrer Infrastruktur
- Schulungsunterlagen und Referenz-Checklisten für Ihre Teams
- Zusammenfassung der beobachteten Themen und empfohlener nächster Schritte
- Teilnahmenachweise und auf Wunsch eine Teilnahmebescheinigung
Fragen
Worin unterscheidet sich das von Ihrer DevSecOps-Beratung?
Die Beratung verändert Prozess und Werkzeuge gemeinsam mit Ihren Teams. Diese Schulung vermittelt die Fähigkeiten, die Ihre Ingenieure brauchen, um diese Praktiken selbst zu betreiben und weiterzuentwickeln. Viele Kunden verbinden beides.
Brauchen Sie Zugriff auf unsere Systeme?
Es hilft. Ein lesender Blick auf eine Auswahl von Pipelines und Infrastruktur-Code erlaubt Übungen an echten Beispielen. Ist das nicht möglich, verwenden wir realistische Beispiele, die zu Ihren Werkzeugen und Plattformen passen.
Welche Werkzeuge behandeln Sie?
Wo möglich die, die Ihre Teams verwenden. Wir vermitteln die Prinzipien am Beispiel Ihrer CI/CD-Plattform, Ihres Cloud-Anbieters und Ihrer Scanner und schlagen Open-Source- oder kommerzielle Optionen vor, wo etwas fehlt.
Ist das ein Zertifizierungskurs?
Nein. Black Fox stellt keine offiziellen Zertifizierungen aus. Die Teilnehmenden erhalten die Unterlagen, und auf Wunsch stellen wir eine Teilnahmebescheinigung aus.
Verwandte Leistungen
- Beratung und ReaktionDevSecOps und sichere EntwicklungDevSecOps von Black Fox Security: sichere Entwicklung, Bedrohungsmodellierung, Code-Review, Sicherheit in CI/CD, Abhängigkeits- und Secret-Scans, Schulung.
- Beratung und ReaktionSchulung für sichere ProgrammierungSecure-Coding-Schulung von Black Fox Security: Schwachstellenklassen wie die OWASP Top 10, sicheres Design, Code-Review und Sicherheitstests in Ihrem Stack.
- Beratung und ReaktionSecurity-Awareness-SchulungenSchulungen von Black Fox Security: Security-Awareness, Social Engineering, Incident Response und DevSecOps für Mitarbeitende, Entwickler und Führung.
- Beratung und ReaktionSchulungen zur CyberhygienePraxisnahe Schulungen zur Cyberhygiene von Black Fox Security: Passwörter, MFA, Phishing, Updates, Datenumgang und mobiles Arbeiten, auf Ihre Tools abgestimmt.
Schulen Sie Ihre Ingenieure an ihren eigenen Pipelines
Erzählen Sie uns, wie Ihre Teams heute Software bauen, ausliefern und betreiben. Wir schlagen Workshops vor, die zu Ihrem Stack und Ihrem Auslieferungsrhythmus passen.