Seminar OWASP DefectDojo Seminare

Seminarprogramm für Vulnerability Management und DevSecOps

DefectDojo bündelt Ergebnisse unterschiedlicher Sicherheitstests in einem gemeinsamen Arbeits- und Governance-Modell. Das Seminarportfolio trennt Grundlagen, AppSec-Prozesse, technische Integration und Plattformbetrieb, damit Lernpfade gezielt nach Rolle und Projektphase zusammengestellt werden können.

Alle Formate arbeiten mit einer konsistenten Objekthierarchie, reproduzierbaren Scanimporten und klaren Kontrollpunkten. Spezialisierte Einzelseminare ermöglichen tiefe Praxisarbeit; Kompaktseminar und Intensivseminare verbinden mehrere Themen in durchgängigen Fallstudien.

Inhaltsverzeichnis

1. Seminarbereiche und Zielgruppen
2. Empfohlene Besuchsreihenfolge
3. Rollenbasierte Lernpfade
4. Kompaktseminar und Intensivseminare
5. Auswahl nach Einführungsphase

Seminarbereiche und Zielgruppen

Grundlagen und Datenmodell

Architektur und Grundlagen, Datenmodell sowie Import und Parser schaffen die Basis für eine konsistente Plattform. Diese Themen richten sich an Einführungsteams, AppSec, Administration, Architektur und technische Projektleitung.

Finding- und Risikoprozesse

Deduplizierung, Triage, Remediation, SLAs, Risk Acceptance, Kennzahlen und Governance bilden den fachlichen Kern des Schwachstellenmanagements. Die Seminare richten sich an AppSec Analysts, Product Security, Security Governance, Product Owner und Compliance.

Integration und Automatisierung

API, Automatisierung und CI/CD-Integration verbinden Scanner, Delivery-Pipelines, Ticketing und Reporting. Zielgruppen sind DevSecOps Engineering, Integrationsentwicklung, CI/CD-Plattformteams und AppSec Engineering.

Plattform und Betrieb

Installation, Administration, Härtung, Monitoring, Performance, Skalierung, Upgrade und Recovery richten sich an Plattformbetrieb, DevOps, SRE, Datenbankadministration, IAM und Security Engineering.

Empfohlene Besuchsreihenfolge

1. Architektur und Grundlagen: Einsatzszenario, Komponenten, Objekthierarchie und Editionsgrenzen verstehen.
2. Installation und produktive Bereitstellung: Für technische Teams eine belastbare Laborumgebung aufbauen.
3. Datenmodell, Produkte und Engagements: Portfolio, Ownership, Releases, Tests und Metadaten strukturieren.
4. Import, Reimport und Parser: Scanwerkzeuge reproduzierbar onboarden und Datenqualität absichern.
5. Deduplizierung und Finding-Lebenszyklus: Finding-Identität, Kontext und Wiederöffnung beherrschen.
6. Findings, Triage und Remediation: Priorisierung, Ownership, Behebung, Ticketing und Retest standardisieren.
7. Risikobewertung, SLAs und Risk Acceptance: Findings in formale Risikosteuerung überführen.
8. Kennzahlen, Berichte und AppSec-Governance: Steuerung und Entscheidungsroutinen aufbauen.
9. Administration, Benutzer und Berechtigungen: Konten, Rollen und Rezertifizierung sicher organisieren.
10. Sicherheitshärtung, SSO und Zugriffsschutz: Plattform, Identitäten, API und Audit technisch absichern.
11. API, Automatisierung und Integrationen: Wiederholbare Objekt-, Import- und Drittsystemworkflows entwickeln.
12. CI/CD-Integration und Security-Pipelines: Scanartefakte und Quality Gates in Delivery-Prozesse einbinden.
13. Betrieb, Monitoring und Troubleshooting: Regelkontrollen, Diagnose, Incidents und Runbooks etablieren.
14. Skalierung, Performance und große Datenmengen: Wachstum, Lastspitzen und Engpässe messbar steuern.
15. Migration, Upgrade, Backup und Wiederherstellung: Versionswechsel und Recovery kontrolliert durchführen.

Rollenbasierte Lernpfade

AppSec und Governance

Architektur und Grundlagen, Datenmodell, Import, Deduplizierung, Findings, Risiko und Kennzahlen bilden den empfohlenen Fachpfad. Das viertägige Intensivseminar bündelt diese Inhalte für Teams mit geschlossenem Governance-Auftrag.

DevSecOps und Integration

Architektur, Datenmodell, Import, API und CI/CD-Integration bilden den Automatisierungspfad. Betrieb und Troubleshooting ergänzen die Übergabe an den produktiven Service.

Plattformbetrieb und Security Engineering

Architektur, Installation, Administration, Härtung, Betrieb, Skalierung und Migration bilden den technischen Plattformpfad. Das fünftägige technische Intensivseminar verbindet diese Themen mit API- und Pipeline-Automatisierung.

Kompaktseminar und Intensivseminare

Das dreitägige Kompaktseminar bietet einen praxisorientierten Gesamtüberblick für Einführungsteams. Der viertägige AppSec-Intensivpfad vertieft Prozesse und Governance. Der fünftägige Plattformpfad konzentriert sich auf Bereitstellung, Automatisierung und Betrieb. Der fünftägige Komplettkurs fasst das gesamte Seminarportfolio in einer gemeinsamen Musterimplementierung zusammen.

Auswahl nach Einführungsphase

1. Orientierung: Architektur und Grundlagen oder Kompaktseminar.
2. Pilot: Datenmodell, Import, Findings und Administration.
3. Automatisierung: API und CI/CD-Integration.
4. Produktionsfreigabe: Installation, Sicherheitshärtung und Betrieb.
5. Skalierung und Verstetigung: Kennzahlen, Governance, Performance und Upgrade.