Seminar Secure SDLC – Kompakt: Sichere Entwicklung im Überblick

Seminarbeschreibung

Das Kompaktseminar stellt die wichtigsten Entscheidungen eines sicheren Entwicklungslebenszyklus in einen gemeinsamen Zusammenhang. Ausgehend von einer geschäftskritischen Anwendung werden Risiken, Kontrollen und Zuständigkeiten so verknüpft, dass technische und organisatorische Rollen eine gemeinsame Arbeitsgrundlage erhalten. Ausgewählte praktische Aufgaben verdeutlichen die Unterschiede zwischen einer vorhandenen Kontrolle und ihrer nachgewiesenen Wirksamkeit.

Das Format fasst alle Themenfelder der Seminarreihe auf Überblicksniveau zusammen. Vorbereitete Modelle, Codeänderungen, Prüfergebnisse und Pipelinekonfigurationen ermöglichen gezielte Bewertungsübungen. Umfangreiche Programmierlabore, eigenständiger Plattformaufbau und detaillierte Spezialtests gehören zu den Einzelseminaren oder den Intensivseminaren. Drei Tage erlauben neben der Orientierung auch eine vollständige Fallbesprechung von der Anforderung bis zu einer späteren Sicherheitsmeldung.

Als roter Faden dient eine Änderung an einer bestehenden Geschäftsanwendung mit einer neuen Datenausgabe und einer aktualisierten Drittkomponente. Die gemeinsame Prüfung beginnt beim Schutzbedarf und endet bei einer später eingehenden Schwachstellenmeldung. Zu jedem Übergang wird gefragt, welche Information benötigt wird, wer sie beurteilt und welcher Nachweis eine Entscheidung trägt. Technische Demonstrationen und vorbereitete Artefakte halten den Ablauf verständlich, ohne eine vollständige Entwicklungsumgebung selbst aufzubauen. Die begrenzten Übungen konzentrieren sich auf nachvollziehbare Entscheidungen und das Erkennen fehlender oder widersprüchlicher Nachweise.

Inhaltsübersicht

1. Prozess, Governance und Bestand
2. Anforderungen, Bedrohungen und Architektur
3. Codequalität, Review und KI-Unterstützung
4. Sicherheitstests und Befundbewertung
5. Pipeline, Lieferkette und Auslieferung
6. Wartung und zusammenhängende Entscheidung

Seminarinhalte

Prozess, Governance und Bestand

• Sicherheitsaufgaben und Verantwortlichkeiten über Entwicklung und Wartung hinweg zuordnen.
• Reifegrad, Security Champions und Mindestkontrollen für ein Pilotteam einordnen.
• Bestandsrisiken und technische Schulden in einer schrittweisen Einführung berücksichtigen.

Anforderungen, Bedrohungen und Architektur

• Schutzbedarf und Datenflüsse eines Beispielprodukts erfassen.
• Wesentliche Bedrohungen in prüfbare Sicherheitsanforderungen überführen.
• Identitäten, Berechtigungen und API-Grenzen anhand eines vorbereiteten Entwurfs beurteilen.

Codequalität, Review und KI-Unterstützung

• Typische Eingabe- und Berechtigungsfehler in begrenzten Codebeispielen erkennen.
• Reviewumfang, Abhängigkeiten und geänderte Tests eines KI-Vorschlags kritisch beurteilen.
• Kontextschutz, begrenzte Werkzeugrechte und unabhängige Freigabe als Kontrollen festlegen.

Sicherheitstests und Befundbewertung

• SAST, DAST, Negativtests und Fuzzing mit ihren Einsatzgrenzen unterscheiden.
• Vorbereitete Befunde auf Plausibilität, Kontext und erforderliche Nachprüfung untersuchen.
• Für einen ausgewählten Fehler einen aussagekräftigen Regressionstest beschreiben.

Pipeline, Lieferkette und Auslieferung

• Vertrauensgrenzen von Repository, Runner, Registry und Zielumgebung erkennen.
• SBOM, Signatur und Provenienz nach ihrer jeweiligen Aussagekraft bewerten.
• Sicherheitsgates, Containerrechte, Infrastrukturdefinitionen und Rücknahmebedingungen in die Freigabe einbeziehen.

Wartung und zusammenhängende Entscheidung

• Eine neue Schwachstelle betroffenen Produktständen zuordnen und priorisieren.
• Korrektur, Nachprüfung, Sicherheitshinweis und Unterstützungsende in den Wartungsablauf einordnen.
• Vorhandene Nachweise zu einer begründeten Freigabe oder Zurückweisung verbinden.

Praxisübungen

1. Für die Fallanwendung Schutzbedarf, Aufgaben und Verantwortlichkeiten zusammenstellen.
2. Ein vorbereitetes Datenflussmodell ergänzen und drei relevante Bedrohungen bearbeiten.
3. Einen Codeänderungsantrag einschließlich KI-generierter Tests gemeinsam prüfen.
4. Scannerbefunde bewerten und einen geeigneten unabhängigen Negativtest entwerfen.
5. Die Unterlagen eines Releases einschließlich Komponentenliste, Pipelinebefund und Signaturprüfung beurteilen.
6. Eine nachträgliche Schwachstellenmeldung bearbeiten und notwendige Folgeaufgaben festlegen.