Seminar OWASP DefectDojo – Import, Reimport und Parser

Scanwerkzeuge zuverlässig und reproduzierbar onboarden

Das Seminar entwickelt aus Scanwerkzeuge, Formaten und Parsern eine kontrollierte Importstrecke für manuelle und wiederkehrende Scanserien.

Erstimport, Reimport, Datenqualität, Parserauswahl, Umgebungs- und Zeitbezug sowie Fehlerbehandlung werden mit repräsentativen Artefakten praktisch geprüft.

Inhaltsverzeichnis

1. Inventar der Scanwerkzeuge
2. Parserauswahl und Formatprüfung
3. Kontrollierter Erstimport
4. Reimport und Folgeimporte
5. Scanserien und Umgebungen
6. Datenqualität
7. Parser- und Konvertierungsstrategie
8. Deduplizierungsvorbereitung

Lernziele

• Scanwerkzeuge inventarisieren und verbindliche Datenverträge definieren.
• Parser anhand relevanter Felder und Scanner-Versionen auswählen und testen.
• Erstimport und Reimport mit eindeutiger Zielzuordnung reproduzierbar durchführen.
• Wiederkehrende Scanserien, Umgebungen und parallele Scanlieferungen sinnvoll strukturieren.
• Datenqualität, Fehlerfälle und langfristige Parserstrategie absichern.

Seminarinhalte

1. Inventar der Scanwerkzeuge

Schwerpunkt: Scanner, Dateiformate, Versionen, Ausführungsfrequenz, Verantwortliche und erwartete Felder.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Inventar der Scanwerkzeuge“ erfassen. Dabei folgende Aspekte berücksichtigen: Scanner, Dateiformate, Versionen, Ausführungsfrequenz, Verantwortliche und erwartete Felder.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Scanwerkzeuginventar mit Datenverträgen erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Parserauswahl und Formatprüfung

Schwerpunkt: herstellerspezifische Parser, generische Formate, Feldabbildung, Scanner-Versionen und Parsergrenzen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Parserauswahl und Formatprüfung“ erfassen. Dabei folgende Aspekte berücksichtigen: herstellerspezifische Parser, generische Formate, Feldabbildung, Scanner-Versionen und Parsergrenzen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Freigegebene Parserzuordnung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Kontrollierter Erstimport

Schwerpunkt: Zielprodukt, Engagement, Test, Scanzeitpunkt, Mindestschweregrad, Status und Umgebung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Kontrollierter Erstimport“ erfassen. Dabei folgende Aspekte berücksichtigen: Zielprodukt, Engagement, Test, Scanzeitpunkt, Mindestschweregrad, Status und Umgebung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Erstimport-Checkliste erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Reimport und Folgeimporte

Schwerpunkt: bestehender Test, neue Scanserie, neue, unveränderte, geschlossene und wiedergeöffnete Findings.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Reimport und Folgeimporte“ erfassen. Dabei folgende Aspekte berücksichtigen: bestehender Test, neue Scanserie, neue, unveränderte, geschlossene und wiedergeöffnete Findings.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Reimport-Standard erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Scanserien und Umgebungen

Schwerpunkt: tägliche, wöchentliche und releasebezogene Scans, Branches sowie Produktions- und Testkontexte.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Scanserien und Umgebungen“ erfassen. Dabei folgende Aspekte berücksichtigen: tägliche, wöchentliche und releasebezogene Scans, Branches sowie Produktions- und Testkontexte.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Betriebsmodell für Scanserien erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Datenqualität

Schwerpunkt: unvollständige Artefakte, inkonsistente Schweregrade, fehlende IDs, Codierung und Parserwarnungen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Datenqualität“ erfassen. Dabei folgende Aspekte berücksichtigen: unvollständige Artefakte, inkonsistente Schweregrade, fehlende IDs, Codierung und Parserwarnungen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Datenqualitätskonzept erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Parser- und Konvertierungsstrategie

Schwerpunkt: direkte Parsernutzung, Vorverarbeitung, generische Findings, Versionierung und Wartungsverantwortung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Parser- und Konvertierungsstrategie“ erfassen. Dabei folgende Aspekte berücksichtigen: direkte Parsernutzung, Vorverarbeitung, generische Findings, Versionierung und Wartungsverantwortung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Wartbare Parserstrategie erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

8. Deduplizierungsvorbereitung

Schwerpunkt: Finding-Identität, Scanner-ID, Pfad, Komponente, Endpunkt und Kontext.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Deduplizierungsvorbereitung“ erfassen. Dabei folgende Aspekte berücksichtigen: Finding-Identität, Scanner-ID, Pfad, Komponente, Endpunkt und Kontext.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Testdatensatz für Deduplizierungsprüfung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: AppSec Engineering, Scanner- und Toolverantwortliche, DefectDojo-Administratoren, DevSecOps Engineers, Security Analysts und Integrationsentwicklung.

Voraussetzungen: Grundkenntnisse von Products, Engagements, Tests und Findings; Zugriff auf repräsentative Scanartefakte ist hilfreich.

Didaktik und Arbeitsweise

Fachvortrag, Parservergleich, manuelle Import- und Reimportserien, Datenqualitätslabor, Fehlersimulation und Strategieworkshop. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.