Seminar OWASP secureCodeBox – Intensivseminar Plattformbetrieb und Automatisierung

Das Intensivformat führt von der Zielarchitektur über Installation und Automatisierung bis zum gehärteten Enterprise-Betrieb. Es richtet sich an Teams, die eine Plattform nicht nur demonstrieren, sondern planbar ausrollen, beobachten, aktualisieren und im Störungsfall wiederherstellen müssen.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Eine sichere Produktionsarchitektur planen, installieren und dokumentieren
• Custom Resources, Scanner, Storage, Rechte und Netzgrenzen kontrollieren
• ScheduledScans, AutoDiscovery, CI/CD und GitOps automatisiert betreiben
• Monitoring, Kapazität, Backup, Upgrade und Fehleranalyse beherrschen
• Mandantenfähigkeit, Governance, Servicekatalog und Rollout umsetzen

Zielgruppe

Kubernetes- und Plattformadministration, DevOps, SRE, Security Operations, Cloud Engineering, Plattformarchitektur und technische Projektleitung.

Voraussetzungen

Sichere Kubernetes-, Helm-, Netzwerk-, Storage- und Git-Grundlagen sowie Erfahrung mit administrativen Betriebsprozessen.

Seminarinhalte

1. Schritt 1: Anforderungen und Betriebsmodell festlegen

   Assets, Scanvolumen, Teams, Verfügbarkeit, Datenhaltung, Support, Wartung und Governance werden in messbare Plattformanforderungen übersetzt.

2. Schritt 2: Zielarchitektur und Namensräume entwerfen

   Cluster, Operator, Scanner, Hooks, Objektablage, Namespace-Trennung, Netzpfade und administrative Zugänge werden geplant.

3. Schritt 3: Labor und Produktionsvoraussetzungen prüfen

   Kubernetes-Version, Kapazität, DNS, Registry, Storage, Zertifikate, Helm, GitOps und Rechte werden mit einer Abnahmeliste kontrolliert.

4. Schritt 4: Operator reproduzierbar installieren

   CRDs, Helm-Werte, Deployment, Controllerstatus, Versionsbindung und Änderungspfad werden in Git verwaltet und geprüft.

5. Schritt 5: Externe Ergebnisspeicherung anbinden

   S3-kompatible Ablage, Zugang, Verschlüsselung, Lebenszyklus, Quoten und Wiederherstellung werden produktionsgerecht eingerichtet.

6. Schritt 6: Scannerkatalog bereitstellen

   Ausgewählte ScanTypes und Parser werden installiert, versioniert, ressourcenseitig klassifiziert und mit sicheren Standardwerten versehen.

7. Schritt 7: Manuelle Scans und Statusdiagnose beherrschen

   Scanmanifeste, Jobs, Pods, Events, Logs, Rohresultate, Parserstatus und Findings werden in einem Standardarbeitsablauf untersucht.

8. Schritt 8: ScheduledScans standardisieren

   Zeitpläne, Templates, Historie, Parallelität, Aufbewahrung und Fehlerbehandlung werden in freigegebene Profile überführt.

9. Schritt 9: Service-AutoDiscovery automatisieren

   Services werden über Labels, Annotationen, Namespaces und Ports erkannt und kontrolliert in geplante Scans übersetzt.

10. Schritt 10: Container-AutoDiscovery automatisieren

    Workload-Images, Digests, Registry-Zugänge, Scanfrequenz, Ausschlüsse und Ressourcenverbrauch werden für Image- und SBOM-Prüfungen konfiguriert.

11. Schritt 11: CI/CD-Integration einrichten

    Pipeline-Identität, Manifestanwendung, Abschlussüberwachung, Quality Gate, Nachweis und temporäre Umgebungen werden als Vorlage umgesetzt.

12. Schritt 12: GitOps-Reihenfolge und Rollback gestalten

    CRDs, Operator, Scanner, Secrets-Verweise, AutoDiscovery und Scans erhalten definierte Sync-Wellen, Health-Checks und Rückrollwege.

13. Schritt 13: RBAC und ServiceAccounts härten

    Plattform-, Scanner-, Pipeline- und Anwendungsteams erhalten getrennte Rollen mit minimalen Rechten und nachvollziehbaren Bindings.

14. Schritt 14: Pod- und Netzsicherheit umsetzen

    SecurityContexts, Image-Herkunft, NetworkPolicies, Egress, Zielnetze, Proxys und aktive Scanoptionen werden kontrolliert.

15. Schritt 15: Secrets und Zertifikate verwalten

    Scannerzugänge, Objektablage, Webhooks, Registries und TLS werden inventarisiert, rotiert, maskiert und auf notwendige Jobs beschränkt.

16. Schritt 16: Kapazität und Prioritäten steuern

    Requests, Limits, Quoten, Parallelität, Node-Auswahl, Warteschlangen und Scannerklassen werden anhand eines Lastmodells dimensioniert.

17. Schritt 17: Monitoring und Alarmierung einrichten

    Controller, Jobs, Laufzeiten, Fehlerraten, Speicher, Warteschlangen, AutoDiscovery und externe Ablage werden mit Betriebskennzahlen überwacht.

18. Schritt 18: Backup, Restore und Upgrade testen

    Konfiguration, Custom Resources, Secrets-Verweise, Helm-Zustand und Storage werden wiederhergestellt; anschließend wird ein kontrolliertes Upgrade mit Rollback geübt.

19. Schritt 19: Fehlerfälle systematisch bearbeiten

    Installations-, Image-, Rechte-, Netzwerk-, Resultat-, Parser-, Hook- und Zeitplanfehler werden mit einem Diagnosebaum und klaren Eskalationen behandelt.

20. Schritt 20: Mandanten- und Governance-Modell umsetzen

    Servicekatalog, Scannerfreigabe, Scope-Nachweis, Datenregeln, Ausnahmen, Servicelevels und Rolloutwellen werden mit technischen Kontrollen verbunden.

21. Schritt 21: Betriebsabnahme durchführen

    Funktion, Sicherheit, Automatisierung, Last, Wiederherstellung, Upgrade, Monitoring, Dokumentation und Zuständigkeiten werden in einer vollständigen Abnahme geprüft.

Praxisübungen

• Eine produktionsnahe Plattformarchitektur und Helm-Konfiguration erstellen
• Operator, Storage und mehrere Scanner reproduzierbar installieren
• ScheduledScans sowie Service- und Container-AutoDiscovery einrichten
• Eine CI/CD- und GitOps-Integration mit Rollback umsetzen
• RBAC, NetworkPolicies, Secrets und Ressourcenprofile härten
• Monitoring, Kapazitätsmodell und Betriebsrunbook erstellen
• Backup, Restore, Upgrade und mehrere Störungsszenarien durchführen
• Ein Enterprise-Onboarding- und Governance-Paket abnehmen

Methodik

Fünf Tage bauen schrittweise eine produktionsnahe Plattform auf. Installation, Automatisierung, Härtung, Betrieb und Governance werden in einem gemeinsamen Cluster umgesetzt und durch Störungs-, Wiederherstellungs- und Upgradeübungen geprüft.