Seminar OWASP DefectDojo – CI/CD-Integration und Security-Pipelines

Scanergebnisse kontrolliert in Delivery-Pipelines übernehmen

Dieses Seminar verbindet Scanner, Buildsystem, Scanartefakt, DefectDojo, Quality Gate und Aufgabenverwaltung zu einer reproduzierbaren Security-Pipeline.

Der Schwerpunkt liegt auf deterministischer Zielzuordnung, Import und Reimport, Branch- und Release-Modellen, sicheren Secrets, belastbaren Fehlerpfaden und operativer Überwachung.

Inhaltsverzeichnis

1. Zielbild der Security-Pipeline
2. Scanartefakte und Datenvertrag
3. Pipeline-gesteuerter Import
4. Branches, Releases und Umgebungen
5. Quality Gates
6. Secrets und Berechtigungen
7. Resilienz und Parallelität
8. Monitoring und Betrieb

Lernziele

• Eine vollständige Security-Pipeline mit Daten- und Kontrollfluss entwerfen.
• Scanartefakte validieren und zuverlässig einem Zielkontext zuordnen.
• Import und Reimport für parallele Branches, Releases und Umgebungen automatisieren.
• Nachvollziehbare Quality Gates mit klaren Ausnahme- und Fehlerregeln umsetzen.
• Pipeline-Zugänge, Resilienz und Monitoring produktionsreif gestalten.

Seminarinhalte

1. Zielbild der Security-Pipeline

Schwerpunkt: Quellcode, Build, Scanner, Artefaktablage, DefectDojo, Quality Gate, Ticketing und Verantwortlichkeiten.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Zielbild der Security-Pipeline“ erfassen. Dabei folgende Aspekte berücksichtigen: Quellcode, Build, Scanner, Artefaktablage, DefectDojo, Quality Gate, Ticketing und Verantwortlichkeiten.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Versionskontrolliertes Pipeline-Zielbild erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Scanartefakte und Datenvertrag

Schwerpunkt: Format, Scanner-Version, Branch, Commit, Build, Umgebung, Aufbewahrung und Mindestfelder.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Scanartefakte und Datenvertrag“ erfassen. Dabei folgende Aspekte berücksichtigen: Format, Scanner-Version, Branch, Commit, Build, Umgebung, Aufbewahrung und Mindestfelder.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Scanartefakt-Vertrag mit Validierungsregeln erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Pipeline-gesteuerter Import

Schwerpunkt: Zielsuche, Produkt- und Engagement-Zuordnung, Testwiederverwendung, Upload und Ergebnisprüfung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Pipeline-gesteuerter Import“ erfassen. Dabei folgende Aspekte berücksichtigen: Zielsuche, Produkt- und Engagement-Zuordnung, Testwiederverwendung, Upload und Ergebnisprüfung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Wiederverwendbare Importkomponente erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Branches, Releases und Umgebungen

Schwerpunkt: Feature-Branch, Hauptzweig, Release, Produktionsversion, temporäre Umgebung und Historie.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Branches, Releases und Umgebungen“ erfassen. Dabei folgende Aspekte berücksichtigen: Feature-Branch, Hauptzweig, Release, Produktionsversion, temporäre Umgebung und Historie.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Branch- und Release-Konvention erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Quality Gates

Schwerpunkt: Schweregrade, neue Findings, Ausnahmen, Risikoakzeptanz, Scannerabdeckung und Datenqualität.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Quality Gates“ erfassen. Dabei folgende Aspekte berücksichtigen: Schweregrade, neue Findings, Ausnahmen, Risikoakzeptanz, Scannerabdeckung und Datenqualität.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Auditierbare Quality-Gate-Policy erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Secrets und Berechtigungen

Schwerpunkt: API-Token, Secret Store, Quellnetz, Maskierung, Rotation, Forks und geschützte Variablen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Secrets und Berechtigungen“ erfassen. Dabei folgende Aspekte berücksichtigen: API-Token, Secret Store, Quellnetz, Maskierung, Rotation, Forks und geschützte Variablen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Sicherheitsstandard für Pipeline-Zugriffe erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Resilienz und Parallelität

Schwerpunkt: Retry, Backoff, Timeout, parallele Builds, Sperren, Korrelation und Nachverarbeitung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Resilienz und Parallelität“ erfassen. Dabei folgende Aspekte berücksichtigen: Retry, Backoff, Timeout, parallele Builds, Sperren, Korrelation und Nachverarbeitung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Wiederanlaufkonzept für Pipelines erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

8. Monitoring und Betrieb

Schwerpunkt: Importquote, Laufzeit, Fehlerrate, Rückstau, Datenalter, Gate-Entscheidung und Supportübergabe.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Monitoring und Betrieb“ erfassen. Dabei folgende Aspekte berücksichtigen: Importquote, Laufzeit, Fehlerrate, Rückstau, Datenalter, Gate-Entscheidung und Supportübergabe.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Betriebs- und Supportpaket erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: DevSecOps Engineers, CI/CD-Plattformteams, Build- und Release-Engineering, AppSec Engineering, Softwarearchitekten und technische Projektleitung.

Voraussetzungen: DefectDojo-Grundkenntnisse, praktische CI/CD-Erfahrung sowie Grundkenntnisse in REST-APIs, Secrets und Scannerartefakten.

Didaktik und Arbeitsweise

Fachvortrag, Pipeline-Modellierung, Laborumsetzung, kontrollierte Fehlerfälle, Quality-Gate-Tests und Betriebsübergabe. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.