Seminar OWASP DefectDojo – Intensivseminar Komplettkurs für DevSecOps und Vulnerability Management

Das vollständige Seminarportfolio in einem integrierten Praxisprojekt

Der fünftägige Komplettkurs fasst sämtliche Einzelseminare in maximal verdichteter Form zusammen und verbindet technische Plattformarbeit mit AppSec-Prozessen und Governance.

Eine durchgängige Laborumgebung wird geplant, bereitgestellt, gehärtet, mit Scanwerkzeuge versorgt, automatisiert, betrieben, skaliert und in einem vollständigen Finding- und Risikoprozess genutzt.

Inhaltsverzeichnis

1. Architektur und Zielbild
2. Installation und Härtung
3. Datenmodell und Portfolio
4. Import, Reimport und Parser
5. Deduplizierung und Finding-Lebenszyklus
6. Risiko, SLAs und Akzeptanz
7. Administration und Zugriffsschutz
8. API und Integrationen
9. CI/CD und Quality Gates
10. Betrieb und Troubleshooting
11. Performance und Skalierung
12. Upgrade und Recovery
13. Abschlussprojekt

Lernziele

• Architektur, Edition, Topologie und Datenmodell belastbar planen.
• Installation, Härtung, Administration und Zugriffsschutz praxisnah umsetzen.
• Import, Reimport, Deduplizierung, Triage und Remediation verbinden.
• Risikosteuerung, Kennzahlen, Berichte, API und CI/CD integrieren.
• Betrieb, Performance, Backup, Upgrade und Wiederherstellung abnahmefähig dokumentieren.

Seminarinhalte

1. Architektur und Zielbild

Schwerpunkt: Einsatzgrenzen, Komponenten, Edition, Verantwortlichkeiten, Datenflüsse und nichtfunktionale Anforderungen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Architektur und Zielbild“ erfassen. Dabei folgende Aspekte berücksichtigen: Einsatzgrenzen, Komponenten, Edition, Verantwortlichkeiten, Datenflüsse und nichtfunktionale Anforderungen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Freigegebene Zielarchitektur erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Installation und Härtung

Schwerpunkt: Container, Datenbank, Worker, Proxy, TLS, Secrets, Persistenz, Backup und Sicherheitsbaseline.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Installation und Härtung“ erfassen. Dabei folgende Aspekte berücksichtigen: Container, Datenbank, Worker, Proxy, TLS, Secrets, Persistenz, Backup und Sicherheitsbaseline.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Abgenommene Laborumgebung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Datenmodell und Portfolio

Schwerpunkt: Product Types, Products, Engagements, Tests, Metadaten, Ownership und Governance.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Datenmodell und Portfolio“ erfassen. Dabei folgende Aspekte berücksichtigen: Product Types, Products, Engagements, Tests, Metadaten, Ownership und Governance.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Konsistentes Portfolio-Modell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Import, Reimport und Parser

Schwerpunkt: Herkunftsinventar, Parser, Erstimport, Folgeimport, Scanserien, Datenqualität und Fehlerfälle.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Import, Reimport und Parser“ erfassen. Dabei folgende Aspekte berücksichtigen: Herkunftsinventar, Parser, Erstimport, Folgeimport, Scanserien, Datenqualität und Fehlerfälle.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Reproduzierbare Importstrecke erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Deduplizierung und Finding-Lebenszyklus

Schwerpunkt: Identität, Kontext, Status, Korrektur, Triage, Ownership, Remediation und Retest.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Deduplizierung und Finding-Lebenszyklus“ erfassen. Dabei folgende Aspekte berücksichtigen: Identität, Kontext, Status, Korrektur, Triage, Ownership, Remediation und Retest.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Vollständiger Finding-Prozess erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Risiko, SLAs und Akzeptanz

Schwerpunkt: Kontextbewertung, Fälligkeit, Eskalation, kompensierende Kontrollen, Ablauf und Audit.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Risiko, SLAs und Akzeptanz“ erfassen. Dabei folgende Aspekte berücksichtigen: Kontextbewertung, Fälligkeit, Eskalation, kompensierende Kontrollen, Ablauf und Audit.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Revisionsfähige Risikosteuerung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Administration und Zugriffsschutz

Schwerpunkt: Konten, Rollen, Produktzugriff, SSO-Planung, Least Privilege, API-Konten und Rezertifizierung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Administration und Zugriffsschutz“ erfassen. Dabei folgende Aspekte berücksichtigen: Konten, Rollen, Produktzugriff, SSO-Planung, Least Privilege, API-Konten und Rezertifizierung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Berechtigungs- und Sicherheitsmodell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

8. API und Integrationen

Schwerpunkt: Inventar, Objektpflege, Import, Idempotenz, Ticketing, Fehlerbehandlung, Tests und Betrieb.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „API und Integrationen“ erfassen. Dabei folgende Aspekte berücksichtigen: Inventar, Objektpflege, Import, Idempotenz, Ticketing, Fehlerbehandlung, Tests und Betrieb.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Wartbare API-Automatisierung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

9. CI/CD und Quality Gates

Schwerpunkt: Scanartefakte, Zielzuordnung, Branches, Reimport, Secrets, Gate-Regeln, Resilienz und Monitoring.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „CI/CD und Quality Gates“ erfassen. Dabei folgende Aspekte berücksichtigen: Scanartefakte, Zielzuordnung, Branches, Reimport, Secrets, Gate-Regeln, Resilienz und Monitoring.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Produktionsnahe Security-Pipeline erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

10. Betrieb und Troubleshooting

Schwerpunkt: Servicemap, Kontrollen, Logs, Worker, Queue, Datenbank, Speicher, Incidents und Runbooks.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Betrieb und Troubleshooting“ erfassen. Dabei folgende Aspekte berücksichtigen: Servicemap, Kontrollen, Logs, Worker, Queue, Datenbank, Speicher, Incidents und Runbooks.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Betriebshandbuch erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

11. Performance und Skalierung

Schwerpunkt: Lastprofil, Worker, Datenbank, Speicher, Importspitzen, Kapazität und Lasttests.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Performance und Skalierung“ erfassen. Dabei folgende Aspekte berücksichtigen: Lastprofil, Worker, Datenbank, Speicher, Importspitzen, Kapazität und Lasttests.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Performance-Baseline erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

12. Upgrade und Recovery

Schwerpunkt: Bestandsaufnahme, Sicherung, Staging-Test, Datenvergleich, Cutover, Rollback und Wiederherstellung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Upgrade und Recovery“ erfassen. Dabei folgende Aspekte berücksichtigen: Bestandsaufnahme, Sicherung, Staging-Test, Datenvergleich, Cutover, Rollback und Wiederherstellung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Upgrade- und Recovery-Runbook erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

13. Abschlussprojekt

Schwerpunkt: vollständige Produktstrecke mit Scan, Triage, Risiko, Automatisierung, Bericht, Störung und Wiederanlauf.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Abschlussprojekt“ erfassen. Dabei folgende Aspekte berücksichtigen: vollständige Produktstrecke mit Scan, Triage, Risiko, Automatisierung, Bericht, Störung und Wiederanlauf.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Abgenommene Musterimplementierung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Interdisziplinäre AppSec-, DevSecOps- und Plattformteams, Security Engineering, DefectDojo-Administration, technische Projektleitung und Serviceverantwortung.

Voraussetzungen: Solide allgemeine Kenntnisse in Softwareentwicklung, Security und IT-Betrieb; Linux-, API- und CI/CD-Grundkenntnisse sind für die technischen Übungen hilfreich.

Didaktik und Arbeitsweise

Fachimpulse, Demonstrationen, intensive Laborarbeit, integrierte Fallstudie, kontrollierte Störungen, Architektur- und Governance-Reviews sowie technische Abnahme. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.