Seminar ImmuniWeb Intensiv – Application Security und DevSecOps

Seminarprofil

Das Intensivseminar bündelt die technischen Lernpfade zu Neuron, Neuron Mobile, On-Demand, MobileSuite, API-Sicherheit, Vulnerability Management, DevSecOps und Continuous. Von der Asset- und Testvorbereitung über automatisierte und manuelle Prüfungen bis zu Quality Gates, Remediation und Retesting entsteht ein durchgängiges Application-Security-Betriebsmodell.

Die angesetzte Dauer von 5 tage ist fachlich erforderlich, weil die zusammengefassten Fachgebiete Web, API, Mobile, Penetration Testing, CI/CD und Continuous Security jeweils praktische Arbeitsphasen benötigen und nur in fünf Tagen ohne unzulässige Verkürzung verbunden werden können.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Tag 1: AppSec-Architektur und Web-Scanning
5. Tag 2: API-Sicherheit und On-Demand
6. Tag 3: Mobile Security
7. Tag 4: DevSecOps und Quality Gates
8. Tag 5: Continuous, Remediation und Steuerung
9. Durchgängiges Abschlussprojekt
10. Praxisübungen

Zielgruppe und Voraussetzungen

Zielgruppe: Application-Security-Teams, DevSecOps, Security Engineering, erfahrene Entwicklung, Penetration Testing, Plattformteams und technische Security Architects.

Voraussetzungen: Fundierte Kenntnisse zu Webanwendungen, APIs, mobilen Apps, HTTP, Authentisierung, CI/CD und Schwachstellenmanagement; praktische Laborerfahrung ist erforderlich.

Lernziele

• Automatisierte und manuelle Prüfverfahren für alle Anwendungsklassen planen.
• Neuron-, On-Demand-, Mobile- und Continuous-Prozesse fachlich integrieren.
• Authentisierte Tests und sichere CI/CD-Integrationen konfigurieren.
• Findings risikobasiert priorisieren und in Entwicklungsabläufe übergeben.
• Ein vollständiges AppSec-Betriebsmodell mit Retesting und Kennzahlen erstellen.

Seminarinhalte

1. Tag 1: AppSec-Architektur und Web-Scanning

Der erste Tag schafft das gemeinsame Daten-, Scope- und Scanmodell.

1. Anwendungsportfolio, Kritikalität, Owner und Umgebungen strukturieren.
2. Neuron-Scans mit Authentisierung, Profilen und sicheren Grenzen planen.
3. Webbefunde validieren, konsolidieren und priorisieren.
4. Baseline, Abdeckung und wiederkehrende Scanfrequenz festlegen.

2. Tag 2: API-Sicherheit und On-Demand

Automatisierte API-Prüfungen werden mit vertieften Penetrationstests verbunden.

1. REST-, SOAP- und GraphQL-Scope samt Rollen und Spezifikationen erfassen.
2. Authentisierungs-, Autorisierungs- und Geschäftslogiktests ausarbeiten.
3. On-Demand-Scope, Testkonten, Kommunikation und Evidenzanforderungen festlegen.
4. Findings in reproduzierbare Entwicklungsaufgaben überführen.

3. Tag 3: Mobile Security

Mobile Apps werden aus Code-, Laufzeit-, Backend- und Datenschutzsicht geprüft.

1. APK- und IPA-Artefakte sowie Umgebungen kontrolliert vorbereiten.
2. Neuron Mobile für SAST-, DAST- und Komponentenanalysen konfigurieren.
3. MobileSuite für manuelle Tests und komplexe Angriffspfade planen.
4. Mobile Findings nach App, Backend, Plattform und Lieferkette behandeln.

4. Tag 4: DevSecOps und Quality Gates

Sicherheit wird in Build, Test, Release und Betrieb automatisiert.

1. Integrationsarchitektur, Tokens, SSO und Secrets sicher gestalten.
2. Risikobasierte Pipeline-Trigger und Scanprofile definieren.
3. Quality Gates, Altbestand, Ausnahmen und Fehlerfälle implementieren.
4. Release-, Finding- und Retest-Daten nachvollziehbar verknüpfen.

5. Tag 5: Continuous, Remediation und Steuerung

Der fünfte Tag schließt den Regelkreis aus Test, Behebung und Wirksamkeitsnachweis.

1. Continuous-Scope und ereignisgesteuerte Prüfungen festlegen.
2. BAS- und kontrollierte Angriffsszenarien mit Detektionszielen planen.
3. Service-Level, Eskalationen und Retests operationalisieren.
4. Abdeckung, Risikoreduktion und Wiederholungsquote als Kennzahlen aufbauen.

6. Durchgängiges Abschlussprojekt

Alle Teilbereiche werden in einem gemeinsamen Unternehmensszenario zusammengeführt.

1. Systemlandschaft und Risikoprofil analysieren.
2. Prüfportfolio und Integrationspunkte auswählen.
3. Befunde, Behebungsweg und Ausnahmefall simulieren.
4. Einführung, Rollen und 90-Tage-Roadmap präsentieren.

Praxisübungen

• Konfiguration eines authentisierten Web- und API-Prüfablaufs.
• Planung eines Mobile-Scan- und Penetrationstestpakets.
• Entwurf einer CI/CD-Integration mit Quality Gates.
• Aufbau eines Continuous- und Retest-Prozesses.
• Bearbeitung eines fünftägigen, durchgängigen AppSec-Falls.

Im Rahmen der Übungen entsteht ein integriertes Application-Security- und DevSecOps-Betriebsmodell mit Toolzuordnung, Pipelines, Prüftiefen, Governance und Roadmap.