Seminar Edgescan Application Security Posture Management (ASPM)

Anwendungssicherheit wird nicht durch einzelne Scans beherrscht, sondern durch ein dauerhaftes Lagebild über Anwendungen, Eigentümer, Prüfstatus, Befunde und Korrekturen. Die Schulung entwickelt daraus ein steuerbares Posture-Modell.

Webanwendungen, APIs und mobile Komponenten werden in einen gemeinsamen Lebenszyklus eingeordnet. Validierte Schwachstellen, Risikokennzahlen, Entwicklungsübergaben und Compliance-Anforderungen bilden die Grundlage für messbare Verbesserungen.

Inhaltsübersicht

• Zielgruppe und Einsatzbereich
• Voraussetzungen
• Kompetenzziele
• Seminarinhalte
• Praxisaufgaben

Zielgruppe und Einsatzbereich

Inhaltsverzeichnis des Kapitels: Rollen; Verantwortungsbereiche; typische Nutzungsszenarien.

• Application Security
• Software- und Plattformarchitektur
• DevSecOps
• Vulnerability Management
• CISO- und Governance-Teams

Voraussetzungen

Inhaltsverzeichnis des Kapitels: Fachkenntnisse; Plattformzugang; Übungsumgebung.

Grundkenntnisse in Anwendungssicherheit, Softwareentwicklungslebenszyklus und Schwachstellenmanagement.

Kompetenzziele

Inhaltsverzeichnis des Kapitels: Einordnung; Konfiguration; operative Anwendung; Kontrolle und Dokumentation.

• Ein vollständiges und verantwortbares Anwendungsinventar als ASPM-Grundlage aufbauen.
• Prüfergebnisse aus Web, API und Mobile in ein gemeinsames Posture-Modell überführen.
• Priorisierung und MTTR anhand validierter Risiken steuern.
• ASPM in SDLC, Compliance, Reporting und Governance verankern.

Seminarinhalte

Inhaltsverzeichnis des Kapitels: ASPM-Zielbild und Anwendungsinventar; Kontinuierliche Sicherheitsprüfung; Validierung und Risikokontext; SDLC und DevSecOps; MTTR und Remediation-Steuerung; Governance, Compliance und Kennzahlen.

Kapitel 1: ASPM-Zielbild und Anwendungsinventar

Inhaltsverzeichnis des Kapitels: Anwendungskatalog; Eigentümer und Kritikalität; Umgebungen; Prüfstatus.

Ein unvollständiger Anwendungskatalog wird um Verantwortliche, Kritikalität und Testabdeckung ergänzt.

1. Schritt 1: Ziel und fachlichen Kontext von Anwendungskatalog bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Eigentümer und Kritikalität in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Umgebungen anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Prüfstatus prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 2: Kontinuierliche Sicherheitsprüfung

Inhaltsverzeichnis des Kapitels: DAST-Ergebnisse; API-Ergebnisse; Mobile-Ergebnisse; manuelle Tests.

Unterschiedliche Prüfarten werden zu einem konsistenten, anwendungsbezogenen Sicherheitsbild zusammengeführt.

1. Schritt 1: Ziel und fachlichen Kontext von DAST-Ergebnisse bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: API-Ergebnisse in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Mobile-Ergebnisse anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: manuelle Tests prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 3: Validierung und Risikokontext

Inhaltsverzeichnis des Kapitels: bestätigte Befunde; EXF und Standardscores; Geschäftskontext; Prioritätsregeln.

Eine priorisierte Anwendungswarteschlange wird aus technischer Schwere und Geschäftsbedeutung erstellt.

1. Schritt 1: Ziel und fachlichen Kontext von bestätigte Befunde bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: EXF und Standardscores in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Geschäftskontext anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Prioritätsregeln prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 4: SDLC und DevSecOps

Inhaltsverzeichnis des Kapitels: Prüfpunkte im Lebenszyklus; Entwicklerübergabe; CI/CD-Anbindung; Freigabekriterien.

Ein Prüf- und Freigabemodell für Entwicklung, Test und Produktion wird entworfen.

1. Schritt 1: Ziel und fachlichen Kontext von Prüfpunkte im Lebenszyklus bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Entwicklerübergabe in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: CI/CD-Anbindung anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Freigabekriterien prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 5: MTTR und Remediation-Steuerung

Inhaltsverzeichnis des Kapitels: Verantwortung; SLA; Korrekturfortschritt; Retest und Abschluss.

Befunde werden vom Eingang bis zur bestätigten Behebung anhand klarer Zeit- und Qualitätskriterien verfolgt.

1. Schritt 1: Ziel und fachlichen Kontext von Verantwortung bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: SLA in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Korrekturfortschritt anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Retest und Abschluss prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 6: Governance, Compliance und Kennzahlen

Inhaltsverzeichnis des Kapitels: AI Insights; Kontrollzuordnung; Dashboards; Managementberichte.

Ein Steuerungsdashboard mit technischen, prozessualen und regulatorischen Kennzahlen wird spezifiziert.

1. Schritt 1: Ziel und fachlichen Kontext von AI Insights bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Kontrollzuordnung in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Dashboards anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Managementberichte prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Praxisaufgaben

Inhaltsverzeichnis des Kapitels: Vorbereitung; Durchführung; Kontrolle; Dokumentation.

1. Anwendungsinventar mit Eigentümern, Kritikalität und Testabdeckung aufbauen.
2. Befunde mehrerer Prüfarten zu einer Posture-Sicht konsolidieren.
3. Prioritäts- und SLA-Regeln für unterschiedliche Anwendungsklassen definieren.
4. ASPM-Kennzahlenset für Security, Entwicklung und Management erstellen.