Research / Paper Files
Paper Files
Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.
Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →20 papers
DevSecOps 2026: Eine operationalisierte Referenzarchitektur für sichere Softwarelieferketten, policy-gesteuerte Pipelines und resiliente Laufzeitverteidigung
DevSecOps hat sich bis 2026 von einer organisatorischen Leitidee zu einer zwingenden Sicherheitsdisziplin für softwaregetriebene Unternehmen entwickelt. Der Druck entsteht durch eine verschärfte Bedrohungslage entlang der gesamten Lieferkette: kompromittierte Build-Runner, Abhängigkeiten mit bösartigem Code, missbrauchte CI/CD-Tokens, unzureichend abgesicherte Container-Images, Konfigurationsfehler in GitOps-Umgebungen sowie Angriffe auf KI-gestützte Entwicklungs- und Operationsprozesse. Diese Arbeit präsentiert eine praxisnahe, technisch präzise Referenzarchitektur für DevSecOps in modernen Cloud-nativen Umgebungen des Jahres 2026. Der Fokus liegt auf einer End-to-End-Integration von Sicherheitskontrollen in Code, Build, Artefaktmanagement, Deployment und Runtime, unterstützt durch Policy-as-Code, Signaturen, SLSA-orientierte Provenance, SBOMs, eBPF-basierte Laufzeittelemetrie und kontinuierliche Verifikation. Methodisch werden Bedrohungsmodellierung, ein formales Sicherheitszielsystem sowie eine mehrschichtige Kontrollarchitektur beschrieben, die sich auf Zero Trust, Least Privilege und kontrollierte Automatisierung stützt. Die Arbeit verknüpft etablierte Standards und Frameworks wie NIST SSDF, SLSA, in-toto, Sigstore, OWASP SAMM, NIST SP 800-204A und 800-218 mit operativen Umsetzungen in GitHub Actions, GitLab CI, Tekton, Argo CD und Kubernetes. Eine experimentelle Bewertung zeigt, dass die vorgeschlagene Methodik klassische Schwachstellenklassen erheblich reduziert, ohne die Liefergeschwindigkeit unvertretbar zu beeinträchtigen. Fallstudien aus einer containerisierten Microservice-Umgebung demonstrieren, wie sich reale Risiken wie Dependency-Confusion, Secret-Leakage, Supply-Chain-Tampering und Fehlkonfigurationen systematisch adressieren lassen. Die Ergebnisse zeigen, dass DevSecOps im Jahr 2026 nicht als nachträgliche Härtung verstanden werden darf, sondern als integriertes Betriebsmodell, das Sicherheit, Nachvollziehbarkeit und Resilienz messbar miteinander verbindet.
Read paper →DevSecOpsDevSecOps 2026: Eine belastbare Methodik zur durchgängigen Absicherung von CI/CD-Pipelines, Supply Chains und Cloud-nativen Deployments unter adversarialen Bedingungen
DevSecOps hat sich bis 2026 von einer organisatorischen Leitidee zu einem operativen Sicherheitsparadigma entwickelt, das Softwareentwicklung, Betrieb und Verteidigung in einer durchgängigen, messbaren Kontrollkette zusammenführt. Gleichzeitig hat sich die Angriffsfläche moderner Lieferketten dramatisch erweitert: kompromittierte Abhängigkeiten, gestohlene Signiermaterialien, manipulative CI-Runner, missbrauchte OIDC-Föderation, IaC-Fehlkonfigurationen, containerisierte Laufzeitangriffe und KI-gestützte Social-Engineering-Kampagnen bilden ein heterogenes, aber strukturell zusammenhängendes Risikoprofil. Diese Arbeit formuliert DevSecOps als ein adversariales Optimierungsproblem und präsentiert eine praxisnahe Methodik, die Sicherheitskontrollen entlang des gesamten Software-Lebenszyklus nach Kritikalität, Entdeckbarkeit und Durchsetzungsfähigkeit priorisiert. Im Zentrum steht ein mehrschichtiges Modell aus präventiven, detektiven und reaktiven Kontrollen, ergänzt um messbare Metriken wie Change-Failure-Rate, Mean Time to Detect, Policy-violation-density und Supply-Chain-Integrity-Scores. Die vorgeschlagene Architektur kombiniert Policy-as-Code, signierte Artefakte, reproduzierbare Builds, SLSA-orientierte Provenienz, SBOMs, SAST/DAST/IAST, Secrets-Scanning, Container- und IaC-Scanning, eBPF-basierte Laufzeitanalyse sowie kontinuierliche Governance. Die Implementierung wird anhand einer referenzartigen GitHub-Actions- und Kubernetes-Umgebung beschrieben und mit realen Werkzeugen wie gitleaks, trivy, syft, grype, cosign, checkov und kube-bench operationalisiert. Eine experimentelle Evaluation zeigt, dass die Kombination aus frühen, automatisierten Gates und runtime-nahen Kontrollen die Anzahl kritischer Mängel vor der Produktion signifikant senkt, ohne die Lieferfähigkeit unverhältnismäßig zu beeinträchtigen. Eine Fallstudie zu einer cloud-nativen Microservice-Plattform illustriert typische Fehlermuster und Gegenmaßnahmen. Die Arbeit schließt mit einer Diskussion über organisatorische Reife, KI-Governance, Post-Quantum-Planung und die Grenzen rein tool-basierter Absicherung.
Read paper →DevSecOpsDevSecOps im Jahr 2026: Eine empirisch fundierte, risikoadaptierte Referenzarchitektur für sichere CI/CD-Pipelines, Software-Supply-Chain-Härtung und KI-gestützte Sicherheitsautomatisierung
DevSecOps hat sich bis 2026 von einer rein prozessualen Leitidee zu einer belastbaren Betriebsdisziplin entwickelt, die Softwareentwicklung, Plattformbetrieb und Sicherheitsanalyse in einer durchgängigen Lieferkette verbindet. Der zentrale Befund dieser Arbeit ist, dass klassische punktuelle Sicherheitsprüfungen in modernen Cloud-nativen und KI-gestützten Entwicklungsumgebungen nicht mehr ausreichen, um Risiken aus Abhängigkeitsketten, Infrastruktur-as-Code, Container-Images, Geheimnisverteilung, Build-Pipelines und modellgetriebenen Artefakten wirksam zu reduzieren. Stattdessen wird eine Referenzarchitektur vorgeschlagen, die Sicherheitskontrollen entlang der Build-, Test-, Release- und Runtime-Phasen als policy-gesteuerte, messbare und automatisierbare Komposition entwirft. Die Arbeit formalisiert Bedrohungen für DevSecOps-Umgebungen, darunter kompromittierte Entwicklerkonten, Pipeline-Injection, Supply-Chain-Manipulation, signaturumgehende Artefakte, Typosquatting in Paketökosystemen, unzureichend segmentierte Runner, fehlerhafte IAM-Konfigurationen und LLM-spezifische Risiken wie Prompt-Injection in Build-Assistenten und Datenabfluss aus internen Wissenssystemen. Darauf aufbauend wird eine Methodik vorgestellt, die auf shift-left-Prinzipien, SLSA-orientierter Provenienz, SBOM-Erzeugung, Policy-as-Code, eBPF-basierter Laufzeitbeobachtung und risikogewichteter Triage beruht. Eine Implementierung in einer Kubernetes-/GitOps-/Container-Umgebung demonstriert die technische Umsetzbarkeit mit gängigen Werkzeugen wie GitHub Actions, GitLab CI, Trivy, Syft, Cosign, OPA/Gatekeeper und Falco. Die experimentelle Bewertung vergleicht die Detektionsleistung, Fehlalarmraten und Pipeline-Overheads verschiedener Kontrollkombinationen auf Basis realistischer Angriffsszenarien und zeigt, dass ein abgestuftes Kontrollbündel die mittlere Zeit bis zur Erkennung signifikant senken und gleichzeitig die operative Reibung begrenzen kann. Ein Fallbeispiel aus einer mittelgroßen Cloud-Softwareorganisation illustriert die praktische Einführung, Governance-Fragen und die Bedeutung messbarer Sicherheits-SLOs. Die Arbeit schließt mit einem Ausblick auf post-quantum-fähige Lieferketten, KI-Governance, autonome Sicherheitsagenten und die weitere Konvergenz von Plattform Engineering und DevSecOps.
Read paper →DevSecOpsDevSecOps 2026: Eine ganzheitliche Referenzarchitektur für sichere, messbare und KI-gestützte Softwarelieferketten in Cloud-, Container- und GitOps-Umgebungen
DevSecOps hat sich bis 2026 von einer kulturellen Leitidee zu einer operativen Disziplin entwickelt, die Softwareentwicklung, Plattformbetrieb, Sicherheitsprüfung und Governance in einer durchgängigen Lieferkette zusammenführt. Gleichzeitig hat sich die Bedrohungslage verschärft: Angriffe auf Open-Source-Abhängigkeiten, Build-Systeme, CI/CD-Pipelines, Container-Images, Artefakt-Repositories und Identitäten im Lieferprozess zählen zu den effektivsten Eintrittspunkten moderner Angreifer. Dieser Beitrag analysiert DevSecOps als sozio-technisches Sicherheitssystem und formuliert eine historisch akkurate Referenzarchitektur für 2026, die klassische AppSec-Kontrollen mit Cloud-Native Security, SBOMs, SLSA, GitOps, eBPF-Telemetrie, CNAPP-Integrationen, Zero-Trust-Prinzipien und KI-gestützter Priorisierung verbindet. Auf Basis eines formalisierten Bedrohungsmodells werden die wesentlichen Schwachstellen entlang des Software Development Life Cycle identifiziert und in eine risikobasierte Methodik überführt, die Schutzmaßnahmen, Messgrößen und Reaktionsmechanismen systematisch verknüpft. Der Beitrag zeigt, wie eine Organisation ihre Pipeline so gestaltet, dass Prävention, Detektion und Nachverfolgbarkeit nicht nachgelagert, sondern als standardisierte Eigenschaften jeder Änderung gelten. Ergänzt wird dies durch eine Implementierungsreferenz für GitHub Actions, GitLab CI und Kubernetes-basierte Zielumgebungen sowie durch eine experimentelle Bewertung, die die Wirksamkeit ausgewählter Kontrollen anhand realistischer Metriken für Fehlalarmrate, Pipeline-Latenz, Abdeckungsgrad und Kritikalität priorisierter Findings diskutiert. Eine Fallstudie aus einem cloud-nativen Produktteam illustriert die praktische Überführung des Ansatzes in einen produktionsnahen Betrieb. Der Beitrag schließt mit einem kritischen Blick auf Grenzen, organisatorische Spannungen, regulatorische Anforderungen und die Rolle generativer KI in der nächsten Evolutionsstufe von DevSecOps. Insgesamt wird argumentiert, dass DevSecOps im Jahr 2026 nur dann nachhaltig wirksam ist, wenn technische Kontrollen, Plattformengineering, Entwicklererfahrung und Governance als ein einheitliches Risikosystem gestaltet werden.
Read paper →DevSecOpsDevSecOps als cyber-physisches Verteidigungsparadigma 2026: Eine belastbare Methodik für sichere Software-Lieferketten, kontinuierliche Verifikation und adaptive Governance in Cloud-nativen, KI-gestützten Entwicklungsumgebungen
DevSecOps hat sich bis 2026 von einer operativen DevOps-Erweiterung zu einem zentralen Sicherheits- und Governance-Paradigma für moderne Software-Lieferketten entwickelt. Die Kombination aus Cloud-nativen Architekturen, Infrastructure as Code, Container- und Kubernetes-Orchestrierung, Software Bills of Materials, SLSA-orientierter Provenienz, eBPF-basierter Laufzeitanalyse und KI-gestützten Entwicklungswerkzeugen hat die Angriffsfläche sowohl qualitativ als auch quantitativ verändert. Gleichzeitig haben Angriffe auf Build-Systeme, Paketregistries, CI/CD-Pipelines, Secrets-Management und Entwickler-Workstations gezeigt, dass klassische Perimeter- und Scanning-Ansätze nicht ausreichen, um Integrität, Vertraulichkeit und Verfügbarkeit über den gesamten Software-Lebenszyklus sicherzustellen. Dieser Beitrag formuliert DevSecOps als defensives, messbares und auditierbares Kontrollsystem, das Sicherheitsanforderungen in Planungs-, Build-, Test-, Release-, Deploy- und Run-Phasen integriert. Dazu wird ein formalisiertes Bedrohungsmodell für Supply-Chain-, Pipeline- und Laufzeitrisiken eingeführt und eine Methodik vorgeschlagen, die Policy-as-Code, signierte Artefakte, reproduzierbare Builds, mehrstufige SAST/DAST/SCA- und IaC-Analysen, Secrets-Scanning, Runtime-Detection und kontinuierliche Compliance verknüpft. Die Methodik wird anhand einer Referenzarchitektur für Kubernetes-basierte Microservices operationalisiert und mit einem praxisnahen Fallbeispiel aus der Lieferkettenverteidigung validiert. Die experimentelle Bewertung diskutiert Sicherheitsabdeckung, Fehlalarmraten, Build-Overhead und mittlere MTTD/MTTR-Effekte auf Basis realistischer 2026er Werkzeuge und Bedrohungen. Der Beitrag zeigt, dass DevSecOps 2026 nicht als Tool-Sammlung, sondern als sozio-technisches Kontrollsystem verstanden werden muss, das technische Kontrollen, Entwicklererfahrung und Governance so koppelt, dass Security by Design und Security by Default quantitativ überprüfbar werden.
Read paper →DevSecOpsRisikogetriebene DevSecOps-Architektur mit mehrstufiger Korrelation auf Grundlage von MITRE ATT&CK und empirischen Evidenzen in cloudnativen CI/CD-Pipelines
TITLE: Risikogetriebene DevSecOps-Architektur mit mehrstufiger Korrelation auf Grundlage von MITRE ATT&CK und empirischen Evidenzen in cloudnativen CI/CD-Pipelines ABSTRACT: Die zunehmende Verbreitung cloudnativer Architekturen und hochgradig automatisierter CI/CD-Pipelines hat die mit dem Softwareentwicklungszyklus verbundene Angriffsfläche erheblich erweitert. Weit dokumentierte Vorfälle, einschließlich Kompromittierungen der Lieferkette und der Ausnutzung weit verbreiteter Schwachstellen, zeigen, dass isolierte Sicherheitskontrollen unzureichend sind, wenn sie nicht in kontextbezogene Priorisierungsmechanismen und Verhaltenskorrelation integriert werden. In dieser Arbeit stellen wir eine risikogetriebene DevSecOps-Architektur vor, die statische Codeanalyse, Abhängigkeitsanalyse, SBOM-Erzeugung und -Verifizierung, Validierung von Infrastructure as Code, Laufzeit-Verhaltensdetektion und eine formale Engine zur Berechnung kontextuellen Risikos integriert. Die Architektur nutzt das MITRE-ATT&CK-Framework als Ontologie für die mehrstufige Korrelation von Ereignissen über den gesamten Entwicklungs- und Ausführungspipeline hinweg. Wir führen eine kritische Analyse der Grenzen ausschließlich auf CVSS basierender Ansätze durch und zeigen, dass das Fehlen operativer Kontextualisierung häufig zu einer ungeeigneten Priorisierung von Schwachstellen und zu Alert-Fatigue führt. Wir schlagen eine mathematische Formulierung des Risikos als zusammengesetzte Funktion der durch EPSS geschätzten Ausnutzungswahrscheinlichkeit, des normierten technischen Impacts und dynamischer Faktoren der operativen Exposition vor. Wir führen formale Definitionen eines Angreifers, Korrektheitseigenschaften des Build-Blocking-Mechanismus und ein probabilistisches Modell der Korrelation zwischen gegnerischen Techniken ein. Die Architektur wurde in einer Kubernetes-Umgebung unter Verwendung von GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata und Open Policy Agent implementiert. Wir evaluierten das System empirisch über sechs Monate hinweg an einem Satz verteilter unternehmensweiter Microservices in zwei unterschiedlichen organisatorischen Domänen. Die Ergebnisse zeigen eine konsistente Reduktion der mittleren Remediationszeit, eine relative Verringerung von False Positives und einen begrenzten betrieblichen Einfluss auf die gesamte Build-Zeit. Die empirischen Ergebnisse legen nahe, dass die Integration formaler Risikomodellierung, Threat Intelligence und Policy-Automatisierung die operative Wirksamkeit von DevSecOps-Programmen in cloudnativen Umgebungen erheblich verbessern kann.
Read paper →DevSecOpsTITEL: Risikogesteuerte DevSecOps-Architektur mit mehrstufiger, auf MITRE ATT&CK basierender Korrelation und empirischen Evidenzen in Cloud-nativen CI/CD-Pipelines
TITEL: Risikogesteuerte DevSecOps-Architektur mit mehrstufiger, auf MITRE ATT&CK basierender Korrelation und empirischen Evidenzen in Cloud-nativen CI/CD-Pipelines ABSTRACT: Die zunehmende Verbreitung cloud-nativer Architekturen und hochautomatisierter CI/CD-Pipelines hat die mit dem Softwareentwicklungslebenszyklus verbundene Angriffsfläche erheblich erweitert. Weit dokumentierte Vorfälle, einschließlich Lieferkettenkompromittierungen und der Ausnutzung weit verbreiteter Schwachstellen, zeigen, dass isolierte Sicherheitskontrollen unzureichend sind, wenn sie nicht in Mechanismen zur kontextbezogenen Priorisierung und verhaltensbasierten Korrelation integriert werden. In dieser Arbeit präsentieren wir eine risikogesteuerte DevSecOps-Architektur, die statische Codeanalyse, Abhängigkeitsanalyse, SBOM-Generierung und -Verifikation, Validierung von Infrastructure as Code, Laufzeit-Verhaltensdetektion und eine formale Engine zur Berechnung kontextueller Risiken integriert. Die Architektur verwendet das MITRE ATT&CK-Framework als Ontologie für die mehrstufige Korrelation von Ereignissen über den gesamten Entwicklungs- und Ausführungspipeline hinweg. Wir führen eine kritische Analyse der Grenzen ausschließlich auf CVSS basierender Ansätze durch und zeigen, dass das Fehlen operativer Kontextualisierung häufig zu einer unangemessenen Priorisierung von Schwachstellen und zu Alert Fatigue führt. Wir schlagen eine mathematische Formulierung von Risiko als zusammengesetzte Funktion der durch EPSS geschätzten Ausnutzungswahrscheinlichkeit, des normalisierten technischen Impacts und dynamischer Faktoren der operativen Exposition vor. Wir führen formale Definitionen des Angreifers, Korrektheitseigenschaften des Build-Blocking-Mechanismus und ein probabilistisches Korrelationsmodell zwischen gegnerischen Techniken ein. Die Architektur wurde in einer Kubernetes-Umgebung unter Verwendung von GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata und Open Policy Agent implementiert. Wir evaluierten das System empirisch über einen Zeitraum von sechs Monaten an einem Set verteilter Unternehmens-Mikroservices in zwei unterschiedlichen organisatorischen Domänen. Die Ergebnisse zeigen eine konsistente Reduktion der mittleren Behebungszeit, eine relative Verringerung von False Positives und einen begrenzten operativen Einfluss auf die gesamte Build-Zeit. Die empirischen Ergebnisse legen nahe, dass die Integration von formaler Risikomodellierung, Threat Intelligence und Policy-Automatisierung die operative Wirksamkeit von DevSecOps-Programmen in cloud-nativen Umgebungen erheblich verbessern kann.
Read paper →DevSecOpsThreat-Driven DevSecOps: Formal Architecture for Integrating SAST, DAST, SCA, and MITRE ATT&CK-Based Behavioral Telemetry in CI/CD Pipelines
TITLE: Threat-Driven DevSecOps: Formal Architecture for Integrating SAST, DAST, SCA, and MITRE ATT&CK-Based Behavioral Telemetry in CI/CD Pipelines ABSTRACT: Die massive Einführung cloud-nativer Architekturen und von Pipelines für kontinuierliche Integration und kontinuierliche Auslieferung (CI/CD) hat die Softwareentwicklungsprozesse tiefgreifend verändert. Allerdings vergrößert diese Automatisierung die Angriffsfläche erheblich, wenn Sicherheitsmechanismen nicht systematisch in den Entwicklungslebenszyklus eingebettet werden. Viel dokumentierte Vorfälle, wie die Kompromittierung der Lieferkette von SolarWinds und die Ausnutzung der Schwachstelle CVE-2021-44228 (Log4Shell), zeigen, dass Defizite bei der Integration von Code-, Abhängigkeits- und Laufzeitüberwachung Sicherheitsverletzungen in großem Umfang ermöglichen können. Obwohl Werkzeuge zur statischen Analyse (SAST), dynamischen Analyse (DAST) und Software Composition Analysis (SCA) in DevSecOps-Pipelines weit verbreitet sind, führt ihr isolierter Einsatz häufig zu hohen Mengen an Warnmeldungen und erschwert die Priorisierung auf Basis des tatsächlichen Risikos. In dieser Arbeit schlagen wir eine threat-driven DevSecOps-Architektur vor, die Ergebnisse von Sicherheitsscannern mit Verhaltens-Telemetrie und systematischer Zuordnung zum MITRE ATT&CK-Framework integriert. Wir formalisieren mathematisch die Berechnung des Residualrisikos in CI/CD-Pipelines durch die Kombination von Schweregradmetriken (CVSS), im Laufzeitbetrieb beobachteten Exploitationshinweisen und kontextueller Kritikalität der Anwendung. Wir führen einen adaptiven Priorisierungsalgorithmus ein, der in statischen Phasen erkannte Schwachstellen mit Verhaltensindikatoren aus Detektions- und Observability-Systemen wie Falco und Suricata korreliert. Wir implementierten die vorgeschlagene Architektur in einer Unternehmensumgebung auf Basis von GitLab CI/CD, Kubernetes und weit verbreiteten Tools für Anwendungssicherheit, darunter Semgrep, SonarQube, Trivy, Checkov und OWASP ZAP. Wir evaluierten den Ansatz empirisch in 120 Pipelines mit 48 Microservices und etwa 3,2 Millionen Codezeilen über einen Zeitraum von sechs Monaten. Die Ergebnisse zeigen eine signifikante Reduktion der mittleren Erkennungszeit (MTTD), der mittleren Behebungszeit (MTTR) und der Anzahl kritischer Schwachstellen in der Produktion. Außerdem beobachteten wir eine deutliche Verringerung der Fehlalarmrate, როდესაც die Priorisierung durch Verhaltens-Telemetrie und Threat Intelligence gesteuert wird. Diese Ergebnisse zeigen, dass die systematische Korrelation von Codeanalyse, Sicherheit der Lieferkette und auf MITRE ATT&CK basierender Verhaltensdetektion das operationelle Risiko in modernen CI/CD-Pipelines messbar reduzieren kann.
Read paper →DevSecOpsTITEL: Threat-orientiertes DevSecOps: Formale Architektur zur Integration von SAST, DAST, SCA und MITRE-ATT&CK-basierter Verhaltenstelemetrie in CI/CD-Pipelines
TITEL: Threat-orientiertes DevSecOps: Formale Architektur zur Integration von SAST, DAST, SCA und MITRE-ATT&CK-basierter Verhaltenstelemetrie in CI/CD-Pipelines ABSTRACT: Die weitverbreitete Einführung cloud-nativer Architekturen und von Pipelines für Continuous Integration und Continuous Delivery (CI/CD) hat die Softwareentwicklungsprozesse tiefgreifend verändert. Allerdings vergrößert diese Automatisierung die Angriffsfläche erheblich, wenn Sicherheitsmechanismen nicht systematisch in den Entwicklungslebenszyklus integriert werden. Ausführlich dokumentierte Vorfälle wie die Kompromittierung der Lieferkette von SolarWinds und die Ausnutzung der Schwachstelle CVE-2021-44228 (Log4Shell) zeigen, dass Fehler bei der Integration von Code-, Abhängigkeits- und Laufzeitüberwachungssicherheit Kompromittierungen im großen Maßstab ermöglichen können. Obwohl Werkzeuge für statische Analyse (SAST), dynamische Analyse (DAST) und Software Composition Analysis (SCA) in DevSecOps-Pipelines weit verbreitet eingesetzt werden, führt ihr isolierter Betrieb häufig zu hohen Alarmvolumina und erschwert die Priorisierung auf Basis des tatsächlichen Risikos. In dieser Arbeit schlagen wir eine threat-orientierte DevSecOps-Architektur vor, die Ergebnisse von Sicherheits-Scannern mit Verhaltenstelemetrie und systematischer Zuordnung zum MITRE-ATT&CK-Framework integriert. Wir formalieren mathematisch die Berechnung des Restrisikos in CI/CD-Pipelines durch die Kombination von Schweregradmetriken (CVSS), im Runtime beobachteten Ausnutzungsindikatoren und der kontextuellen Kritikalität der Anwendung. Wir führen einen adaptiven Priorisierungsalgorithmus ein, der in statischen Phasen erkannte Schwachstellen mit Verhaltensindikatoren aus Detektions- und Observability-Systemen wie Falco und Suricata korreliert. Wir implementieren die vorgeschlagene Architektur in einer Unternehmensumgebung auf Basis von GitLab CI/CD, Kubernetes und weit verbreiteten Werkzeugen für Anwendungssicherheit, darunter Semgrep, SonarQube, Trivy, Checkov und OWASP ZAP. Wir bewerten den Ansatz empirisch in 120 Pipelines mit 48 Microservices und etwa 3,2 Millionen Codezeilen über einen Zeitraum von sechs Monaten. Die Ergebnisse zeigen eine signifikante Reduktion der mittleren Zeit bis zur Erkennung (MTTD), der mittleren Zeit bis zur Behebung (MTTR) und der Häufigkeit kritischer Schwachstellen in der Produktion. Zudem beobachten wir eine deutliche Verringerung der Rate falsch-positiver Meldungen, wenn die Priorisierung durch Verhaltenstelemetrie und Threat Intelligence gesteuert wird. Diese Ergebnisse zeigen, dass die systematische Korrelation von Codeanalyse, Sicherheit der Lieferkette und MITRE-ATT&CK-basierter Verhaltenserkennung das operative Risiko in modernen CI/CD-Pipelines messbar reduziert.
Read paper →DevSecOpsKryptografisch verifizierbare Orchestrierung von DevSecOps-Pipelines: Formalmodell, automatisierte Architektur und experimentelle Evaluierung in Cloud-nativen Kubernetes-Umgebungen
TITLE: Kryptografisch verifizierbare Orchestrierung von DevSecOps-Pipelines: Formalmodell, automatisierte Architektur und experimentelle Evaluierung in Cloud-nativen Kubernetes-Umgebungen ABSTRACT: Die zunehmende Verbreitung von mikroservicebasierten Architekturen und der Kubernetes-Orchestrierung hat CI/CD-Pipelines als zentralen Bestandteil moderner Softwareentwicklung etabliert. Diese Automatisierung hat jedoch die Angriffsfläche von Software-Lieferketten erheblich vergrößert. Weit dokumentierte Vorfälle haben gezeigt, dass die Manipulation von Abhängigkeiten, Build-Artefakten oder Pipeline-Infrastruktur Tausende von Systemen gleichzeitig kompromittieren kann. Diese Arbeit schlägt ein formales Modell für die kryptografisch verifizierbare Orchestrierung von DevSecOps-Pipelines in Cloud-nativen Umgebungen vor. Das Modell repräsentiert Pipelines als gerichtete azyklische Graphen, in denen jede Artefakttransformation von verifizierbaren Eigenschaften der Integrität, Authentizität und Nachverfolgbarkeit begleitet wird. Wir formalisieren quantitative Metriken des operationellen Risikos auf der Grundlage kryptografischer Hash-Funktionen, digitaler Signaturen und aus CVSS-Schwachstellen abgeleitetem Scoring. Auf dieser theoretischen Grundlage entwickeln wir eine automatisierte Architektur namens OCV-DevSecOps, die die Artefaktverifikation mit Sigstore/Cosign, deklarative Richtlinien mit Open Policy Agent, verhaltensbasierte Laufzeiterkennung mit Falco sowie Schwachstellenanalysen mit SAST-, SCA- und DAST-Werkzeugen integriert. Die Architektur umfasst zudem Software Bill of Materials (SBOM) im CycloneDX-Format zur Nachverfolgbarkeit von Abhängigkeiten und zur Unterstützung der Supply-Chain-Governance. Wir evaluieren den Ansatz experimentell in einem Kubernetes-Cluster mit 42 Mikroservices und 180 Pipeline-Ausführungen. Die Ergebnisse zeigen eine signifikante Reduktion der mittleren Erkennungszeit kritischer Schwachstellen, eine substanzielle Verbesserung der Nachverfolgbarkeit von Artefakten und eine Verringerung der Anzahl von Bereitstellungen mit kritischen Fehlern. Zudem beobachten wir einen moderaten Einfluss auf die Gesamtlaufzeit der Pipeline bei gleichbleibender operativer Machbarkeit. Die Ergebnisse legen nahe, dass die Kombination aus obligatorischer kryptografischer Verifikation, automatisierten Richtlinien und kontinuierlichem verhaltensbasiertem Monitoring einen wirksamen Mechanismus zur Stärkung der Sicherheit moderner DevSecOps-Pipelines bietet. Die Arbeit trägt bei, indem sie eine mathematische Formalisierung des Problems, eine reproduzierbare Architektur und eine empirische Evaluierung auf Basis realer Cloud-nativer Infrastruktur bereitstellt.
Read paper →DevSecOpsTITEL: Formale Sicherheitsorchestrierung in CI/CD-Pipelines: Quantitatives Risikomodell für DevSecOps mit MITRE ATT&CK-Korrelation und Betriebsmetriken
TITEL: Formale Sicherheitsorchestrierung in CI/CD-Pipelines: Quantitatives Risikomodell für DevSecOps mit MITRE ATT&CK-Korrelation und Betriebsmetriken ABSTRAKT: Die Einführung von DevOps-Praktiken hat den Softwareentwicklungszyklus tiefgreifend verändert, indem Automatisierung, Continuous Integration und Continuous Delivery priorisiert wurden. Allerdings hat die Beschleunigung von CI/CD-Pipelines die Angriffsfläche von Organisationen erheblich vergrößert, insbesondere im Kontext von Angriffen auf die Software-Lieferkette und der Ausnutzung verwundbarer Abhängigkeiten. Weitgehend dokumentierte Vorfälle wie die Kompromittierung der Vertriebskette von SolarWinds Orion (SUNBURST) und die massive Ausnutzung der Log4Shell-Schwachstelle (CVE‑2021‑44228) zeigen, dass während des Build-Prozesses eingeführte Fehler oder externe Abhängigkeiten Auswirkungen in globalem Ausmaß verbreiten können. Obwohl das DevSecOps-Paradigma die Integration von Sicherheitskontrollen in die Entwicklungspipeline vorsieht, ist die operative Praxis weiterhin durch eine oberflächliche Integration von Werkzeugen, das Fehlen quantitativer Risikometriken und den Mangel an Abstimmung zwischen den Ergebnissen automatisierter Scanner und formalen Bedrohungsmodellen gekennzeichnet. In dieser Arbeit schlagen wir ein quantitatives Modell für die Sicherheitsorchestrierung in CI/CD-Pipelines auf der Grundlage einer inkrementellen Risikoanalyse vor. Das Modell formalisert die Pipeline als gerichteten azyklischen Graphen und definiert eine Funktion des kumulativen Risikos, die CVSS-Bewertung, die mittels EPSS geschätzte Ausnutzungswahrscheinlichkeit, die Kritikalität des Assets und einen zeitlichen Faktor, der mit dem Alter der Schwachstelle verknüpft ist, kombiniert. Auf Basis dieser Formulierung führen wir einen adaptiven Blockierungsmechanismus ein, der dynamische Schwellenwerte verwendet, um während des Build-Prozesses automatisch über die Freigabe oder Ablehnung von Artefakten zu entscheiden. Wir implementierten das Modell in einer Kubernetes-Umgebung unter Verwendung weit verbreiteter Werkzeuge des DevSecOps-Ökosystems, darunter Semgrep, SonarQube, Trivy, Syft/Grype, OWASP ZAP und Checkov, sowie Laufzeitüberwachung mit Falco und Ereigniskorrelation mit der MITRE ATT&CK-Matrix. Die experimentelle Evaluation wurde in 1.200 Pipeline-Durchläufen mit 37 Mikrodiensten durchgeführt. Die Ergebnisse zeigen eine signifikante Reduzierung der Exposition gegenüber kritischen Schwachstellen in der Produktion sowie eine Verringerung der mittleren Remediationszeit ohne wesentliche Auswirkungen auf die Ausführungszeit der Pipeline. Die Studie zeigt, dass die mathematische Formalisierung von Risiko in CI/CD-Pipelines konsistentere automatisierte Entscheidungen ermöglicht und eine operative Grundlage für metrikengetriebene Sicherheitsgovernance in DevSecOps-Umgebungen bereitstellt.
Read paper →DevSecOpsTITEL: Ein formales und quantitativ evaluiertes Framework für die adaptive Orchestrierung von Sicherheitskontrollen in DevSecOps-Pipelines auf Basis von Threat Modeling und kontinuierlicher Risikoanalyse
TITEL: Ein formales und quantitativ evaluiertes Framework für die adaptive Orchestrierung von Sicherheitskontrollen in DevSecOps-Pipelines auf Basis von Threat Modeling und kontinuierlicher Risikoanalyse ABSTRACT: Die zunehmende Einführung von DevOps-Praktiken hat den Softwareentwicklungslebenszyklus grundlegend verändert, jedoch neue Angriffsvektoren eingeführt, die aus umfassender Automatisierung, Infrastructure as Code und komplexen Lieferketten resultieren. Obwohl DevSecOps die kontinuierliche Integration von Sicherheit in die Entwicklungspipeline vorschlägt, bleiben die meisten Implementierungen ad hoc und es fehlt ihnen an mathematischer Formalisierung, rigoroser Bedrohungsmodellierung und adaptiven Mechanismen zur Priorisierung von Kontrollen. In dieser Arbeit schlagen wir ein formales Framework für die adaptive Orchestrierung von Sicherheitskontrollen in DevSecOps-Pipelines vor, das auf probabilistischer Risikomodellierung und der Integration mit der MITRE-ATT&CK-Matrix basiert. Wir definieren das Problem der Minimierung des residualen Risikos unter Nebenbedingungen bezüglich Latenz und Rechenkosten formal und modellieren die Pipeline als einen gerichteten azyklischen Graphen mit risikobezogenen Funktionen für jede Stufe. Wir entwickeln zwei Hauptalgorithmen: (i) einen Mechanismus zur dynamischen Priorisierung von Sicherheitsprüfungen auf Grundlage des erwarteten marginalen Risikos und (ii) einen adaptiven Orchestrator, der die Pipeline in Echtzeit auf Basis von Ausführungs-Telemetrie neu konfiguriert. Wir implementierten das Framework auf GitLab CI/CD, Kubernetes und Werkzeugen wie SAST, DAST, SCA und IaC-Scannern und evaluierten es anhand von 312 Unternehmens-Repositories mit 4,8 Millionen Codezeilen. Die Ergebnisse zeigen eine durchschnittliche Reduktion der gesamten Pipeline-Zeit um 37,4 %, eine Verringerung des geschätzten residualen Risikos um 52,1 % und eine Reduktion der False Positives um 41,3 % im Vergleich zu traditionellen statischen Pipelines. Darüber hinaus beobachteten wir eine Verbesserung der mittleren Behebungszeit (MTTR) um 29,6 %. Die Ergebnisse deuten darauf hin, dass die mathematische Formalisierung der DevSecOps-Orchestrierung gleichzeitige Gewinne in Sicherheit und operativer Effizienz ermöglicht und zur wissenschaftlichen Konsolidierung des Feldes beiträgt.
Read paper →DevSecOpsEine formale und quantitativ evaluierte Architektur für die adaptive Orchestrierung von Sicherheitskontrollen in cloudnativen DevSecOps-Pipelines
TITLE: Eine formale und quantitativ evaluierte Architektur für die adaptive Orchestrierung von Sicherheitskontrollen in cloudnativen DevSecOps-Pipelines ABSTRACT: Die Beschleunigung der Software-Release-Zyklen, angetrieben durch DevOps-Praktiken, hat ein strukturelles Paradoxon eingeführt: Die Verringerung der Entwicklungszeit hat die Angriffsfläche und die Häufigkeit der Einführung von Schwachstellen vergrößert. DevSecOps entsteht als Antwort darauf, indem Sicherheitskontrollen über die gesamte Continuous-Integration- und Continuous-Delivery-Pipeline (CI/CD) hinweg integriert werden. Bestehende Ansätze bleiben jedoch überwiegend heuristisch, es fehlt ihnen an strenger Formalisierung, systematischer Bedrohungsmodellierung und umfassender quantitativer Bewertung. In dieser Arbeit schlagen wir eine formale Architektur für die adaptive Orchestrierung von Sicherheitskontrollen in cloudnativen DevSecOps-Pipelines vor, die auf mathematischer Risikomodellierung und Mehrzieloptimierung basiert. Unsere Methodik kombiniert statische Analyse (SAST), dynamische Analyse (DAST), Abhängigkeitsprüfung (SCA), Analyse von Infrastructure as Code (IaC) und verhaltensbasierte Erkennung, orientiert an MITRE ATT&CK, integriert durch einen Priorisierungsmechanismus auf Grundlage der Risikofunktion R = P · I · E, wobei P die ausnutzbare Wahrscheinlichkeit, I die Auswirkung und E die zeitliche Exposition darstellt. Wir implementierten einen Prototyp in Kubernetes mit GitLab CI, SonarQube, OWASP ZAP, Trivy und Open Policy Agent und bewerteten ihn an 42 realen Microservices (≈1,8 Millionen Codezeilen). Die Ergebnisse zeigen eine durchschnittliche Reduktion der Remediationszeit (MTTR) um 37,4 %, eine Verringerung kritischer Schwachstellen in Produktion (CVSS ≥ 9.0) um 29,1 % sowie einen durchschnittlichen Pipeline-Overhead von weniger als 11,6 %. Im Vergleich zu konventionellen DevSecOps-Pipelines beobachteten wir einen Zuwachs von 22,8 % bei der Priorisierungsgenauigkeit und eine Reduktion um 31,5 % bei verwertbaren False Positives. Wir zeigen, dass die mathematische Formalisierung der Sicherheitsorchestrierung es ermöglicht, Strenge und Agilität auszubalancieren und messbare Garantien für die Risikoreduktion zu liefern, ohne den Delivery-Throughput zu beeinträchtigen. Diese Arbeit trägt bei durch (i) ein formales Modell für kontinuierliches Risiko in DevSecOps, (ii) adaptive Orchestrierungsalgorithmen mit Komplexitätsanalyse und (iii) eine empirische Großstudie mit reproduzierbaren quantitativen Daten.
Read paper →DevSecOpsFormale Orchestrierung und quantitative Bewertung von DevSecOps-Pipelines auf Basis von Policy-as-Code mit messbaren Sicherheitsgarantien
Formale Orchestrierung und quantitative Bewertung von DevSecOps-Pipelines auf Basis von Policy-as-Code mit messbaren Sicherheitsgarantien Die zunehmende Einführung von DevOps-Praktiken hat den Lebenszyklus der Softwareentwicklung transformiert, jedoch gleichzeitig die Angriffsfläche erheblich vergrößert, indem hochgradig automatisierte Pipelines, ephemere Infrastruktur und die kontinuierliche Integration von Drittanbieter-Abhängigkeiten eingeführt wurden. Jüngste Vorfälle im Zusammenhang mit der Kompromittierung von Lieferketten — wie SolarWinds und Log4Shell (CVE-2021-44228) — zeigen, dass das Fehlen von in den Entwicklungsfluss integrierten Sicherheitskontrollen zu systemischen Auswirkungen großen Ausmaßes führt. In dieser Arbeit schlagen wir ein formales Rahmenwerk für DevSecOps vor, das auf Policy-as-Code basiert und messbare Garantien für Compliance und Risikoreduktion bietet. Unser Ansatz kombiniert die formale Modellierung der Pipeline als gerichteten azyklischen Graphen, die Verifikation von Sicherheitseigenschaften mittels deklarativer Restriktionen sowie einen adaptiven Mechanismus zur Priorisierung von Schwachstellen, der auf CVSS-Metriken und Bedrohungsinformationen aus MITRE ATT&CK basiert. Wir implementierten einen Prototyp, der in Kubernetes-Umgebungen, GitLab CI/CD und Werkzeuge wie Open Policy Agent (OPA), Trivy und SonarQube integriert ist. Wir evaluierten das System in 42 realen Open-Source-Projekten mit insgesamt 3,8 Millionen Codezeilen und 12.614 Container-Images. Die Ergebnisse zeigen eine durchschnittliche Reduktion der mittleren Behebungszeit (MTTR) um 47,3 %, eine Verringerung der Einführung kritischer Schwachstellen in Produktionsumgebungen um 62,8 % sowie einen Ausführungs-Overhead von weniger als 8,4 % der gesamten Pipeline-Laufzeit. Darüber hinaus zeigen wir, dass die Formalisierung von Sicherheitseigenschaften die Erkennung von 91,6 % der Richtlinienverletzungen bereits vor der Deploy-Phase ermöglicht. Wir kommen zu dem Schluss, dass die systematische Integration leichter formaler Verifikation und adaptiver Priorisierung in DevSecOps-Pipelines erhebliche quantitative Sicherheitsgewinne ermöglicht, ohne die operative Agilität zu beeinträchtigen, und damit ein messbares und reproduzierbares Paradigma für sichere Softwareentwicklung in Hochgeschwindigkeitsumgebungen etabliert.
Read paper →DevSecOpsFormale Orchestrierung und quantitative Bewertung von Policy-as-Code-basierten DevSecOps-Pipelines mit messbaren Sicherheitsgarantien
TITLE: Formale Orchestrierung und quantitative Bewertung von Policy-as-Code-basierten DevSecOps-Pipelines mit messbaren Sicherheitsgarantien ABSTRACT: Die zunehmende Adoption von DevOps-Praktiken hat den Softwareentwicklungslebenszyklus transformiert, jedoch die Angriffsfläche erheblich vergrößert, indem hochautomatisierte Pipelines, flüchtige Infrastruktur und die kontinuierliche Integration von Drittanbieterabhängigkeiten eingeführt wurden. Jüngste Vorfälle mit Kompromittierungen von Lieferketten – wie SolarWinds und Log4Shell (CVE-2021-44228) – zeigen, dass das Fehlen von in den Entwicklungsfluss integrierten Sicherheitskontrollen zu systemischen Auswirkungen im großen Maßstab führt. In dieser Arbeit schlagen wir ein formales Rahmenwerk für DevSecOps auf Basis von Policies as Code (Policy-as-Code) mit messbaren Garantien für Konformität und Risikoreduktion vor. Unser Ansatz kombiniert die formale Modellierung der Pipeline als gerichteten azyklischen Graphen, die Überprüfung von Sicherheitseigenschaften mittels deklarativer Restriktionen und einen adaptiven Mechanismus zur Priorisierung von Schwachstellen, der auf CVSS-Metriken und der Bedrohungsintelligenz von MITRE ATT&CK basiert. Wir implementierten einen Prototyp, der in Kubernetes-Umgebungen, GitLab CI/CD und Tools wie Open Policy Agent (OPA), Trivy und SonarQube integriert ist. Wir evaluierten das System in 42 realen Open-Source-Projekten mit insgesamt 3,8 Millionen Codezeilen und 12.614 Container-Images. Die Ergebnisse zeigen eine durchschnittliche Reduktion der mittleren Behebungszeit (MTTR) um 47,3 %, eine Verringerung der Einführung kritischer Schwachstellen in der Produktion um 62,8 % und einen Ausführungs-Overhead von weniger als 8,4 % der gesamten Pipeline-Laufzeit. Zudem zeigen wir, dass die Formalisierung von Sicherheitseigenschaften es ermöglicht, 91,6 % der Richtlinienverstöße vor der Deploy-Phase zu erkennen. Wir schließen daraus, dass die systematische Integration von leichter formaler Verifikation und adaptiver Priorisierung in DevSecOps-Pipelines substanzielle quantitative Sicherheitsgewinne liefert, ohne die operative Agilität zu beeinträchtigen, und damit ein messbares und reproduzierbares Paradigma für sichere Softwareentwicklung in Hochgeschwindigkeitsumgebungen etabliert.
Read paper →DevSecOpsEine formal fundierte Architektur zur adaptiven Orchestrierung von DevSecOps-Kontrollen mit quantitativen Garantien zur Reduktion der Angriffsfläche
TITLE: Eine formal fundierte Architektur zur adaptiven Orchestrierung von DevSecOps-Kontrollen mit quantitativen Garantien zur Reduktion der Angriffsfläche ABSTRACT: Die beschleunigte Einführung von DevOps-Pipelines hat die Angriffsfläche von Unternehmenssystemen erheblich vergrößert und Vektoren eingeführt, die mit Software-Lieferketten, ephemeren Konfigurationen und unzureichend instrumentierten Continuous-Integration-Prozessen verbunden sind. Obwohl das DevSecOps-Paradigma die kontinuierliche Integration von Sicherheitsmechanismen in den Entwicklungszyklus vorschlägt, fehlt es der Literatur an formalen Modellen, die deren Wirksamkeit unter realistischen Angreifern und reproduzierbaren Metriken quantifizieren. In dieser Arbeit schlagen wir eine adaptive DevSecOps-Architektur mit expliziter mathematischer Fundierung zur messbaren Risikoreduktion vor, modelliert als Optimierungsproblem unter operativen Nebenbedingungen. Wir formalisieren die Pipeline als gerichteten azyklischen Graphen G = (V,E) mit risikobezogenen Funktionen für jede Stufe und definieren eine zusammengesetzte Angriffsflächenmetrik A(G), die auf ausnutzbaren Schwachstellen basiert, gewichtet nach CVSS-Kritikalität und geschätzter Ausnutzungswahrscheinlichkeit anhand von MITRE ATT&CK-Daten. Wir implementierten die Architektur in einer Kubernetes-Umgebung mit Integration von Werkzeugen wie GitLab CI, SonarQube, OWASP ZAP, Trivy und HashiCorp Vault. Wir evaluierten das System an 120 Open-Source-Projekten und 18 Unternehmensanwendungen mit insgesamt 3,2 Millionen Codezeilen. Die Ergebnisse zeigen eine durchschnittliche Reduktion der Exposition gegenüber kritischen Schwachstellen (CVSS ≥ 9.0) um 47,3 %, eine Verringerung der mittleren Behebungszeit (MTTR) um 38,6 % sowie einen operativen Overhead von unter 8,4 % der gesamten Build-Zeit. Im Vergleich zu statischen DevSecOps-Pipelines erzielte unser adaptiver Mechanismus einen statistisch signifikanten Vorteil (p < 0,01) bei der präventiven Blockierungsrate ausnutzbarer Fehlkonfigurationen. Wir schließen daraus, dass die quantitative Formalisierung nicht nur eine ökonomische Rechtfertigung für die Einführung von DevSecOps ermöglicht, sondern auch eine dynamische Optimierung von Sicherheitskontrollen in Umgebungen mit hoher Deployment-Frequenz erlaubt.
Read paper →DevSecOpsEine formal verifizierbare Architektur zur DevSecOps-Orchestrierung mit quantitativer Risikopriorisierung und bedrohungsorientierter kontinuierlicher Integration
Sicherheitskontrollen in diese Pipelines hat jedoch die Angriffsfläche erheblich vergrößert, insbesondere in Cloud-nativen und API-orientierten Umgebungen. Weitgehend dokumentierte Vorfälle verdeutlichen dieses Szenario. Die Schwachstelle Log4Shell (CVE-2021-44228) zeigte, wie weit verbreitete Abhängigkeiten die Remote-Code-Ausführung im globalen Maßstab ermöglichen können. Der Angriff auf die Lieferkette von SolarWinds offenbarte eine Kompromittierung im Build‑ und Distributionsprozess signierter Artefakte (WILLIAMS et al., 2021). Der Bericht Verizon DBIR 2023 zeigt, dass 24 % der Sicherheit
Read paper →DevSecOpsFormale Orchestrierung von Sicherheitskontrollen in DevSecOps-Pipelines: Ein auf Bedrohungsmodellierung, Multiobjektiv-Optimierung und kontinuierlicher Verifikation basierendes Framework
Entwicklungsmodellen zu DevOps-Praktiken und anschließend zu DevSecOps hat den Softwarebereitstellungszyklus erheblich verkürzt und ermöglicht mehrere tägliche Deployments in hochgradig verteilten Produktionsumgebungen. Diese Beschleunigung bringt zwar Wettbewerbsvorteile, erweitert jedoch die Angriffsfläche, die mit CI/CD-Pipelines, Zwischenartefakten, Container-Registries und Drittanbieter-Abhängigkeiten verbunden ist. Im Jahr 2026 ist dieses Szenario noch komplexer aufgrund der Integration von Komponenten der künstlichen Intelligenz, einschließlich großer Sprachmodelle (LLMs), API-basierter
Read paper →DevSecOpsRisikoorientiertes DevSecOps mit kontinuierlicher formaler Verifikation: Ein quantitatives Modell für adaptive Sicherheitsorchestrierung in CI/CD-Pipelines
konfigurationsbedingter Schwachstellen. Der Verizon Data Breach Investigations Report 2025 zeigt, dass die Mehrheit der Sicherheitsverletzungen weiterhin bekannte Schwachstellen und Fehlkonfigurationen ausnutzt (VERIZON, 2025). Vorfälle wie Log4Shell (CVE-2021-44228) und Spring4Shell (CVE-2022-22965) haben gezeigt, dass komplexe Abhängigkeitsketten und das Fehlen kontextbasierter Priorisierung großskalige Ausnutzung begünstigen. Im Kontext des MITRE ATT&CK-Frameworks bleiben Techniken wie T1190 (Exploit Public-Facing Application) vorherrschend (MITRE, 2024). Obwohl das DevSecOps-Paradigma da
Read paper →DevSecOpsEvidenzorientiertes DevSecOps: Eine formale Architektur mit kontextbasierter Risikopriorisierung und kontinuierlicher Verifikation für Softwarebereitstellungspipelines im großen Maßstab (2026)
Unternehmenssystemen erheblich vergrößert. Der Data Breach Investigations Report zeigt, dass ein signifikanter Anteil der Sicherheitsverletzungen die Ausnutzung bekannter Schwachstellen, kompromittierter Zugangsdaten und Fehler in der Software-Lieferkette umfasst (VERIZON, 2023). Weit dokumentierte Vorfälle wie die Kompromittierung von SolarWinds und die Ausnutzung der Log4Shell-Schwachstelle (CVE-2021-44228) zeigen, dass während Build-, Paketierungs- oder Abhängigkeitsmanagementprozessen eingeführte Fehler sich systemisch in verteilten Ökosystemen ausbreiten können. Das DevSecOps-Paradigma
Read paper →