Ik zet een devsecops ci cd pipeline op met sbom image signing en cve scanning

Heb je een DevSecOps CI/CD-pipeline nodig die supply-chain aanvallen VÓÓR ze in productie komen, detecteert? Ik bouw het voor je.

Ik lever een productieklare GitHub Actions-pipeline die:

Elke container image ondertekent met Sigstore Cosign (keyless, geen langdurige sleutels)

Dubbele SPDX + CycloneDX SBOMs genereert (Syft)

Vulnerabele images blokkeert via Grype / Trivy CVE-gates

Ondertekeningsverificatie afdwingt bij Kubernetes admission (Kyverno)

SLSA Level 3 build provenance produceert

Werkende demo: ondertekend toegelaten, gemanipuleerd geweigerd

WAAROM IK:

Een volledige SLSA Level 3 supply-chain platform gebouwd (openbaar op GitHub)

Onderzoeksachtergrond in cloud-native security en detection engineering

BS-scriptie over adaptive IDS onder IEEE-review

Praktijkervaring met Kubernetes, eBPF, Cosign, Kyverno, OWASP-standaarden

TECH STACK:

GitHub Actions, GitLab CI, Jenkins, Docker, Kubernetes (EKS / k3s / kind), Helm, Cosign, Fulcio, Rekor, Syft, Grype, Trivy, Kyverno, SLSA v1.0

JIJ KRIJGT:

Compleet CI/CD-workflowbestanden (gecommit naar je repo)

Ondertekende en gescande container images bij elke push

SBOM-artifacts (SPDX + CycloneDX)

Kyverno admission policies (optioneel)

Volledige setup-documentatie + gratis revisie