Seminarkatalog

Ein Release-Gate verliert seinen Wert, wenn Schwachstellen in Container-Images oder fehlerhafte Kubernetes-Manifeste erst nach dem Deployment auffallen. Trivy bündelt diese Kontrollen in einer CI/CD-Pipeline. Im Seminar erzeugst du SBOMs, suchst nach eingebetteten Secrets und priorisierst Befunde anhand des Schweregrads, des Fix-Status und des Einsatzkontexts. Kubernetes-Manifeste werden vor der Freigabe auf Fehlkonfigurationen geprüft. Eigene Rego-Prüfungen für Konfigurationsdateien, dokumentierte Ausnahmen mit Ablaufdatum und reproduzierbare Release-Gates prägen die Übungen. Die vorbereitete Laborumgebung enthält eine CI/CD-Pipeline und alle benötigten Komponenten. Am Ende steht eine Prüfkette, die Scan-Ergebnisse als JSON oder SARIF protokolliert und definierte Befunde über Exit-Codes blockiert.

Trivy-Grundlagen und Scan-Konfiguration

• Unterstützte Scan-Ziele der Trivy-CLI
• Schwachstellendatenbank und lokaler Cache
• Konfigurationsdateien für wiederholbare Scans
• JSON und SARIF als Ausgabeformate

Container-Images und Dateisysteme

• Image-Scans über Tags und Digests
• Pakete auf Betriebssystemebene identifizieren
• Lokale Dateisystem-Scans für Build-Kontexte
• Befunde nach Schweregrad und Fix-Status priorisieren

Infrastructure as Code und Secrets

• Terraform-Dateien auf Fehlkonfigurationen prüfen
• IaC-Regeln für Build-Kontexte konfigurieren
• Secrets in Quelltext-Repositories erkennen
• Bestätigte Befunde zeitlich befristet ausnehmen

Kubernetes-Sicherheitsprüfung

• Kubernetes-Manifeste mit Trivy scannen
• Prüfungen vor dem Cluster-Deployment
• Befunde betroffenen Kubernetes-Objekten zuordnen
• Sicherheitsrelevante Workload-Einstellungen in Manifesten bewerten

SBOM und Software-Lieferkette

• CycloneDX- und SPDX-Formate vergleichen
• SBOMs aus Container-Images erzeugen
• Komponenten mit Schwachstellendaten abgleichen
• SBOMs als Pipeline-Artefakte speichern
• VEX-Aussagen zur Ausnutzbarkeit verarbeiten

CI/CD-Pipeline und Release-Gates

• Trivy-CLI als Pipeline-Schritt integrieren
• Exit-Codes für automatische Release-Gates
• Eigene Rego-Prüfungen für Konfigurationen entwickeln
• Ausnahmen mit Ablaufdatum verwalten
• Freigabeprotokolle aus Scan-Ergebnissen erzeugen

• Grundkenntnisse in Containern, Kubernetes und YAML, etwa aus dem Kubernetes Grundkurs
• Erste Erfahrung mit Shell-Befehlen und CI/CD-Pipelines

• DevOps-Fachkräfte mit Container-Pipelines
• Plattform-Teams für Kubernetes-Umgebungen
• Security-Fachkräfte mit DevSecOps-Aufgaben
• Entwicklungsteams mit CI/CD-Verantwortung

Lernformate

Unsere Seminare bieten dir maximale Flexibilität: Du kannst zwischen Live-Online und Vor Ort in unseren modernen Schulungszentren im D-A-CH Raum wählen. Beide Formate garantieren dir die gleiche hohe Qualität und interaktive Lernerfahrung.

Schulungsarten

Wir bieten dir verschiedene Schulungsarten: Offene Seminare, Firmenseminare für Teams und Inhouse-Schulungen direkt bei dir vor Ort. So findest du genau das Format, das zu deinen Bedürfnissen passt.

Uhrzeiten

09:00-16:00 Uhr

Aktuelle Software

In unseren offenen Kursen arbeiten wir mit der aktuellsten Software-Version. So lernst du direkt mit den Tools und Features, die du auch in deinem Arbeitsalltag verwendest - mit klarem Alltagsbezug und zukunftsorientiert. Bei Inhouse- und Firmenschulungen bestimmt ihr die Version.

D