Secure Infrastructure Lifecycle as Code: Ein modulares Framework für resiliente IT-Infrastrukturen, Ivan Volkov

Ivan Volkov

Kurzfassung

Die zunehmende Komplexität und Dynamik moderner IT-Landschaften verlangt nach automatisierten, sicheren und auditierbaren Bereitstellungsverfahren. Diese Arbeit untersucht das Potenzial von Infrastructure as Code (IaC) im Kontext von DevSecOps, Compliance und Disaster Recovery. Ziel ist die Entwicklung eines prototypischen Frameworks zur modularen, standardisierten Bereitstellung sicherer Infrastrukturen – genannt SEAL (Selbst Entfaltende Auditierbare Landschaften). Im Fokus stehen dabei der Einsatz etablierter Open-Source-Technologien wie Terraform, Ansible, GitLab CI/CD, Vault und diverse Security-Scanner. Das Framework integriert Sicherheitsprüfungen, Härtung, Logging, zentrale Authentifizierung und Compliance-Mapping gemäß ISO/IEC 27001 und CIS Controls direkt in den Deployment-Prozess. Anhand eines simulierten E-Commerce-Szenarios wird demonstriert, wie automatisierte Wiederherstellung, Auditierbarkeit und Sicherheitskonformität in hybriden Umgebungen erreicht werden können. Die Ergebnisse zeigen, dass IaC-basierte Sicherheitsarchitekturen insbesondere für KMU(Kleine und mittlere Unternehmen) eine praxistaugliche, kostene"ziente und maßgeschneiderte Alternative zu proprietären Sicherheitslösungen darstellen können.

Schlagwörter: Infrastructure as Code, DevSecOps, Compliance, Automatisierung, Sicherheitsarchitektur, Disaster Recovery

Abstract

The increasing complexity and dynamic of modern IT landscapes demands automated, secure, and auditable deployment procedures. This thesis explores the potential of Infrastructure as Code (IaC) in the context of DevSecOps, compliance, and disaster recovery. Its goal is to develop a prototype framework for modular, standardized provisioning of secure infrastructures—named SEAL (Self-Evolving Auditable Landscapes). The focus lies on leveraging established open-source technologies such as Terraform, Ansible, GitLab CI/CD, Vault, and various security scanners. The framework integrates security assessments, hardening, logging, centralized authentication, and compliance mapping according to ISO/IEC 27001 and CIS Controls directly into the deployment process. Using a simulated e-commerce scenario, it demonstrates how automated recovery, auditability, and security compliance can be achieved in hybrid environments. The results show that IaC-based security architectures o!er small and medium-sized enterprises a practical, cost-e!ective, and customizable alternative to proprietary security solutions.

Keywords: Infrastructure as Code, DevSecOps, Compliance, Automation, Security Architecture, Disaster Recovery