CI/CD Engineer (m/f/d)

Westhouse ist eine der führenden internationalen Personalvermittlungsagenturen für die Beschaffung hochqualifizierter Experten in Bereichen wie IT-Lifecycle-Management, SAP, Engineering, Handel und Fachberatung.

Allgemeine Informationen

• Start: ASAP
• Dauer: + Option
• Standort: Frankfurt (50%) und Remote
• Umfang der Arbeit: Vollzeit (100%)
• Sprachen: Englisch

Ihre Qualifikationen

• Entwurf und Implementierung von DevOps-Lösungen zur Gewährleistung der Integrität, Vertraulichkeit und Verfügbarkeit von Systemen und Daten
• Nachgewiesene Erfahrung in der Implementierung von DevSecOps-Praktiken von Ende zu Ende, Einbettung von Sicherheitskontrollen in CI/CD-Pipelines und Plattformebenen
• Starke Erfahrung in der Zusammenarbeit mit Engineering-, DevOps- und IT-Teams zur Integration von Sicherheit in den Softwareentwicklungslebenszyklus
• Entwicklung und Dokumentation von Sicherheitsprozessen, einschließlich Schwachstellenmanagement und Vorfallreaktion
• Umfassende praktische Erfahrung im Entwurf, Betrieb und Troubleshooting von großangelegten Kubernetes-Plattformen
• Tiefes Verständnis der Kubernetes-Interna, einschließlich Scheduling, Networking (CNI), Storage, RBAC, Admission Controllers und API-Erweiterungen
• Erfahrung in der Implementierung von Container- und Laufzeitsicherheit in Kubernetes-Umgebungen
• Starkes Wissen über Netzwerksicherheit in containerisierten Umgebungen (Segmentierung, Richtlinien, sichere Kommunikation)
• Starke praktische Erfahrung mit GitOps-Workflows unter Verwendung von Argo CD und FluxCD in Produktionsumgebungen
• Starke praktische Erfahrung mit Infrastructure-as-Code unter Verwendung von Terraform oder OpenTofu
• Erfahrung in der Integration von Sicherheitskontrollen in CI/CD-Pipelines, einschließlich automatisierter Validierungs- und Compliance-Prüfungen
• Starke operative Erfahrung mit Harbor als zentralem Artefakt-Registry
• Solides Verständnis der Sicherheit der Software-Lieferkette, einschließlich Artefaktsignierung, Herkunft, Bestätigungen und Abhängigkeitsverfolgung
• Erfahrung mit SBOM-Standards (z.B. CycloneDX) und der Integration von SBOMs in Sicherheits-Workflows
• Praktische Erfahrung mit Sicherheitstools wie Trivy, Dependency-Track und DefectDojo
• Starke Expertise im Aufbau und Betrieb von Observability-Stacks, die sich auf Prometheus konzentrieren
• Fortgeschrittene Erfahrung mit Grafana, einschließlich benutzerdefinierter Dashboards, Plugins und sicherheitsfokussiertem Monitoring
• Erfahrung in der Integration von Metriken, Protokollen und Traces in eine kohärente Observability-Plattform (z.B. Prometheus, Loki, OpenTelemetry)
• Starke praktische Erfahrung mit Google Cloud Platform, insbesondere:

• GKE (Clusterbetrieb, Sicherheit, Networking)
• IAM und Workload-Identität
• Networking (VPCs, private Konnektivität, Dienstkontrollen)

• PostgreSQL
• TestRail
• Jira

Ihre Aufgaben

• Entwurf, Implementierung und Wartung von DevOps-Lösungen unter Gewährleistung der Integrität, Vertraulichkeit und Verfügbarkeit von Systemen und Tools für das Programm und die Daten
• Analyse der Programm-Anforderungen und Entwurf sicherer, robuster DevOps-Architekturen, die Integrations-, Skalierungs- und Compliance-Bedürfnisse adressieren.
• Entwicklung und Konfiguration von CI/CD-Pipelines mit integrierten Sicherheitsprüfungen und Compliance-Prüfungen.
• Implementierung sicherer Konfigurationen, Zugriffskontrollen und Verschlüsselung für Systeme, Repositories und Bereitstellungspipelines.
• Regelmäßige Überwachung und Aktualisierung von Systemen und Tools zur Behebung von Sicherheitsanfälligkeiten und zur Gewährleistung der fortlaufenden Einhaltung von Sicherheitsrichtlinien und -standards.
• Durchführung von Risikoanalysen und Bedrohungsmodellierungen zur proaktiven Identifizierung und Minderung potenzieller Schwächen in DevOps-Workflows.
• Bereitstellung von Automatisierung für die Bereitstellung und Verwaltung von Infrastrukturen unter Verwendung von Tools wie Terraform, Ansible oder Open-Tofu, unter Berücksichtigung bewährter Sicherheits- und Zuverlässigkeitspraktiken.
• Aufrechterhaltung der System- und Dienstverfügbarkeit, einschließlich Notfallwiederherstellungsplanung, Vorfallreaktionsverfahren und routinemäßigen Backups.
• Durchführung regelmäßiger Audits von Konfigurationen, Benutzerzugriffen und Systemprotokollen zur Gewährleistung von Integrität und Nachvollziehbarkeit.
• Koordination mit Entwicklung und anderen Stakeholdern zur Lösung von Problemen, Implementierung neuer Funktionen und zur optimalen Funktionsweise aller Systeme unter Einhaltung der Vertraulichkeits- und Datenschutzanforderungen.
• Erstellung und Pflege umfassender Dokumentationen zu Architektur, Konfigurationen, Prozessen und Vorfallreaktionsplänen.
• Bereitstellung von Sicherheitswerkzeugen für Entwickler in einer Selbstbedienungsform
• Entwurf und Implementierung benutzerfreundlicher Schnittstellen, die es Entwicklern ermöglichen, direkt auf Sicherheitswerkzeuge zuzugreifen.
• Automatisierung der Bereitstellung und Konfiguration von Sicherheitswerkzeugen (z.B. über APIs oder Selbstbedienungsportale), um die Einarbeitung von Entwicklern zu optimieren.
• Integration von Sicherheitswerkzeugen in CI/CD-Pipelines, sodass sie als Teil der Standardentwicklungs-Workflows verfügbar sind.
• Gewährleistung, dass Zugriffskontrollen ordnungsgemäß eingerichtet sind, damit Entwickler Sicherheitswerkzeuge sicher nutzen können, ohne sensible Daten oder die Integrität des Systems zu gefährden.
• Überwachung der Nutzung und Verfügbarkeit von Sicherheitswerkzeugen, um sicherzustellen, dass Entwickler minimale Reibung und Ausfallzeiten erleben.
• Bereitstellung von Dokumentations- und Unterstützungsunterlagen, um Entwicklern zu helfen, die verfügbaren Sicherheitswerkzeuge effizient zu nutzen.
• Kontinuierliche Sammlung von Feedback von Entwicklern und Verbesserung der Selbstbedienungserfahrung basierend auf ihren Bedürfnissen.
• Dokumentation häufig durchgeführter Aufgaben für interne und externe Kunden
• Identifizierung und Katalogisierung routinemäßiger Aufgaben und Prozesse, die von den Stakeholdern durchgeführt werden oder von Benutzern erwartet werden.
• Verfassen klarer, schrittweiser Anleitungen und Instruktionen für gängige Operationen, Fehlersuche und Wartungsaktivitäten.
• Erstellung visueller Hilfsmittel wie Flussdiagramme, Diagramme oder Screenshots zur Unterstützung der schriftlichen Dokumentation und zur Verbesserung des Verständnisses.
• Regelmäßige Überprüfung und Aktualisierung der Dokumentation, um die Genauigkeit mit sich entwickelnden Tools, Systemen und Verfahren sicherzustellen.
• Sammlung von Feedback von internen und externen Benutzern zur Verfeinerung und Klärung der Dokumentation basierend auf ihren Erfahrungen und Bedürfnissen.
• Sicherstellung, dass die Dokumentation zugänglich und in einem zentralen Repository oder Wissensdatenbank organisiert ist.
• Erstellung von Schnellreferenzmaterialien, FAQs und „Wie man“-Videos für häufige Fragen oder Probleme.
• Standardisierung von Dokumentationsformaten und -vorlagen für Konsistenz über alle Materialien hinweg.
• Steigerung der Automatisierungsbemühungen zur automatischen Erstellung umfangreicher SBOMs, KBOMs
• Entwurf und Entwicklung von Skripten oder Workflows zur automatischen Generierung von Software Bill of Materials (SBOMs) und Knowledge Bill of Materials (KBOMs) während der Build- oder Bereitstellungsprozesse.
• Integration von SBOM-/KBOM-Generierungstools in CI/CD-Pipelines, um sicherzustellen, dass Rechnungen für jeden Build und jedes Update erstellt werden.
• Auswahl und Pflege geeigneter Automatisierungstools (wie Trivy, Syft oder andere), die die umfassende und genaue Erstellung von SBOMs/KBOMs unterstützen.
• Testen und Validieren automatisierter Ausgaben, um Vollständigkeit, Richtigkeit und Einhaltung interner oder regulatorischer Standards sicherzustellen.
• Optimierung der Benutzererfahrung, damit Entwickler und andere Stakeholder mit minimalen manuellen Schritten auf SBOMs/KBOMs zugreifen können.
• Behandlung und Abschirmung technischer Komplexitäten im Zusammenhang mit dem Management von SBOMs/KBOMs von Endbenutzern, um die Automatisierung nahtlos und robust zu gestalten.
• Überwachung und Optimierung von Automatisierungs-Workflows hinsichtlich Leistung und Skalierbarkeit, während Produkte oder Systeme sich weiterentwickeln.
• Wartung und Aktualisierung von Automatisierungsskripten, wenn neue Paket-Ökosysteme, Abhängigkeiten oder regulatorische Anforderungen entstehen.
• Dokumentation der automatisierten Prozesse, einschließlich wie die SBOMs/KBOMs generiert, gespeichert und abgerufen werden.
• Schwachstellenmanagement & Sicherheitsverhärtung
• Kontinuierliche Überwachung von Systemen, Anwendungen und Containern auf neue Schwachstellen mithilfe automatisierter Scanning-Tools.
• Analyse von Schwachstellenberichten, Priorisierung von Ergebnissen basierend auf Risiko und potenzieller Auswirkung.
• Planung und Anwendung von Abhilfemaßnahmen, wie z.B. Patchen von Software, Aktualisieren von Abhängigkeiten oder Ändern von Konfigurationen.
• Koordination und Verfolgung der Behebung von Schwachstellen mit Entwicklung, Betrieb und anderen relevanten Teams.
• Dokumentation der ergriffenen Maßnahmen, einschließlich Risikobewertung, Minderung oder Eskalation kritischer Probleme.
• Durchführung regelmäßiger Sicherheitsverhärtungsmaßnahmen, wie z.B. Durchsetzung des geringsten Privilegs, Deaktivierung unnötiger Dienste und Anwendung sicherer Konfigurationsbaselines.
• Durchführung von Penetrationstests oder Schwachstellenbewertungen und Analyse der Ergebnisse zur Identifizierung von Bereichen zur Verhärtung.
• Aktualisierung gehärteter Images und Vorlagen für Systembereitstellungen als Reaktion auf aufkommende Bedrohungen oder Erkenntnisse.
• Überprüfung und Verbesserung von Netzwerk- und Zugriffskontrollen zur Minimierung von Angriffsflächen.
• Bereitstellung von Anleitung und Unterstützung für Teams zu sicheren Entwicklungs- und Betriebspraktiken.

Interessiert? Wir freuen uns auf den Erhalt Ihrer Bewerbungsunterlagen in elektronischer Form.

Kontaktperson
Tobias Gollmann