Seminar OWASP secureCodeBox – Architektur und Custom Resources

Eine belastbare Plattformkonfiguration setzt voraus, dass die interne Aufgabenverteilung zwischen Operator, Kubernetes-Jobs, Parsern, Hooks und Ergebnisspeicherung verstanden wird. Das Seminar erschließt die Architektur anhand realer Ressourcen und verfolgt einen Scan vom Manifest bis zum normalisierten Finding.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Die Komponenten und Datenflüsse der Plattform fachgerecht einordnen
• Scan, ScheduledScan, ScanType, ParseDefinition, ScanCompletionHook und CascadingRule sicher unterscheiden
• Ressourcenstatus, Eigentümerbeziehungen und erzeugte Kubernetes-Objekte nachvollziehen
• Clusterweite und namensraumbezogene Bereitstellungsmodelle bewerten
• Eigene Architektur- und Betriebsentscheidungen in überprüfbaren Manifesten dokumentieren

Zielgruppe

Kubernetes-Administratoren, Plattformingenieure, DevOps, Security Engineers, technische Architekten und erfahrene Anwendungsbetreuung.

Voraussetzungen

Sichere Kubernetes-Grundlagen, praktische Erfahrung mit YAML, Namespaces, Jobs, ConfigMaps und Secrets sowie Grundkenntnisse von Helm.

Seminarinhalte

1. Schritt 1: Sicherheitsorchestrierung einordnen

   Ziele, Grenzen und typische Einsatzmuster einer Kubernetes-basierten Scan-Orchestrierung werden von den Funktionen einzelner Scanner getrennt. Daraus entsteht ein gemeinsames Architekturvokabular.

2. Schritt 2: Komponentenmodell aufbauen

   Operator, Controller, Scanner-Job, Lurker, Parser, Hook, Objektablage und Findings werden als zusammenhängende Verarbeitungskette dargestellt. Verantwortlichkeiten und Fehlergrenzen werden markiert.

3. Schritt 3: Custom Resources systematisch lesen

   API-Gruppe, Version, Kind, Metadaten, Spezifikation und Status werden an den zentralen Ressourcentypen untersucht. Dabei werden Referenzen, Selektoren und Standardwerte erklärt.

4. Schritt 4: Einen Scan vollständig verfolgen

   Aus einem Scan-Manifest werden ScanType, Job, Pod, Rohresultat, Parse-Vorgang, Finding-Status und Abschlusszustand abgeleitet. Ereignisse und Statusbedingungen dienen als Kontrollpunkte.

5. Schritt 5: ScanTypes und Job-Templates analysieren

   Container, Befehle, Argumente, Umgebungsvariablen, Volumes, Ressourcenanforderungen und Sicherheitskontexte werden auf ihre Wirkung im erzeugten Job geprüft.

6. Schritt 6: Parser und ParseDefinitions zuordnen

   Der Übergang vom scannerspezifischen Ausgabeformat zum einheitlichen Finding-Modell wird nachvollzogen. Parser-Konfiguration, Fehlerbehandlung und Ergebnisqualität werden bewertet.

7. Schritt 7: Hooks in den Lebenszyklus einordnen

   Hook-Auswahl, Ausführungszeitpunkt, Datenzugriff, schreibende und lesende Verarbeitung sowie Auswirkungen auf Status und Findings werden untersucht.

8. Schritt 8: Zeitplanung und Kaskaden modellieren

   ScheduledScans und CascadingRules werden mit ScanTemplates, Zielübergaben und Schutz vor unkontrollierter Vervielfachung kombiniert.

9. Schritt 9: Namensraum- und Mandantenmodell entwerfen

   Clusterweite Ressourcen, namespace-lokale ScanTypes, Berechtigungen und Trennung von Teams werden zu einem nachvollziehbaren Betriebsmodell verbunden.

10. Schritt 10: Architekturdiagnose durchführen

    Fehlerbilder werden anhand von Events, Controller-Protokollen, Jobstatus, Parserzustand und Hook-Ausführung eingegrenzt. Abschließend entsteht ein Architekturdiagramm mit Betriebsgrenzen.

Praxisübungen

• Vorhandene Ressourcen eines vollständigen Scanlaufs inventarisieren
• Ein Scan-Manifest schrittweise erweitern und Statusänderungen protokollieren
• Ein ScanType-Jobtemplate auf Sicherheit und Wartbarkeit prüfen
• Eine CascadingRule mit klarer Zielübergabe entwerfen
• Ein namespace-basiertes Plattformmodell für mehrere Teams skizzieren

Methodik

Architekturvermittlung, Manifestanalyse, Demonstrationen im Cluster, geführte Diagnose und praktische Übungen. Jeder Verarbeitungsschritt wird zunächst isoliert und anschließend in einem durchgängigen Scanlauf überprüft.