Trivy Schulung: Container-Releases automatisiert prüfen

Trivy-Grundlagen und Scan-Konfiguration

• Unterstützte Scan-Ziele der Trivy-CLI
• Schwachstellendatenbank und lokaler Cache
• Konfigurationsdateien für wiederholbare Scans
• JSON und SARIF als Ausgabeformate

Container-Images und Dateisysteme

• Image-Scans über Tags und Digests
• Pakete auf Betriebssystemebene identifizieren
• Lokale Dateisystem-Scans für Build-Kontexte
• Befunde nach Schweregrad und Fix-Status priorisieren

Infrastructure as Code und Secrets

• Terraform-Dateien auf Fehlkonfigurationen prüfen
• IaC-Regeln für Build-Kontexte konfigurieren
• Secrets in Quelltext-Repositories erkennen
• Bestätigte Befunde zeitlich befristet ausnehmen

Kubernetes-Sicherheitsprüfung

• Kubernetes-Manifeste mit Trivy scannen
• Prüfungen vor dem Cluster-Deployment
• Befunde betroffenen Kubernetes-Objekten zuordnen
• Sicherheitsrelevante Workload-Einstellungen in Manifesten bewerten

SBOM und Software-Lieferkette

• CycloneDX- und SPDX-Formate vergleichen
• SBOMs aus Container-Images erzeugen
• Komponenten mit Schwachstellendaten abgleichen
• SBOMs als Pipeline-Artefakte speichern
• VEX-Aussagen zur Ausnutzbarkeit verarbeiten

CI/CD-Pipeline und Release-Gates

• Trivy-CLI als Pipeline-Schritt integrieren
• Exit-Codes für automatische Release-Gates
• Eigene Rego-Prüfungen für Konfigurationen entwickeln
• Ausnahmen mit Ablaufdatum verwalten
• Freigabeprotokolle aus Scan-Ergebnissen erzeugen

• Grundkenntnisse in Containern, Kubernetes und YAML, etwa aus dem Kubernetes Grundkurs
• Erste Erfahrung mit Shell-Befehlen und CI/CD-Pipelines

• DevOps-Fachkräfte mit Container-Pipelines
• Plattform-Teams für Kubernetes-Umgebungen
• Security-Fachkräfte mit DevSecOps-Aufgaben
• Entwicklungsteams mit CI/CD-Verantwortung