Seminar UBIKA – Intensivseminar API Security, Identity und DevSecOps

Der Intensivpfad verbindet API-Sicherheit, Automatisierung, containerisierte Bereitstellung und modernes Zugriffsmanagement. Ein zusammenhängender Praxisfall führt von OpenAPI und Positivmodell über CI/CD und Kubernetes bis zu SSO, MFA, Cloud-Schutz und kontrollierter Produktionseinführung.

Inhaltsverzeichnis

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
4. Praxisaufgaben
5. Zielgruppe und Voraussetzungen

Seminarprofil

Die Schulung kombiniert fachliche Einordnung, geführte Konfiguration, reproduzierbare Tests und betriebliche Dokumentation. Jede Änderung wird zuerst in ihrem Datenfluss und Risikokontext bewertet, danach in einer Laborumgebung umgesetzt und abschließend mit Positiv-, Negativ- und Rückfalltests geprüft.

Lernziele

• Die fachlichen und technischen Anforderungen zu Tag 1 – API-Inventar und OWASP-Risikomodell strukturiert analysieren und priorisieren.
• Die UBIKA-Konfiguration für Tag 1 – OpenAPI und Positivmodell und Tag 1 – JSON-, XML- und Datenkontrollen nachvollziehbar aufbauen.
• Funktions-, Negativ-, Last- und Fehlerfälle mit eindeutigen Abnahmekriterien prüfen.
• Änderungen, Ausnahmen und Betriebsentscheidungen versionierbar und revisionsfähig dokumentieren.
• Monitoring, Freigabe, Rollback und Verantwortlichkeiten in einen belastbaren Betriebsprozess überführen.

Schrittweise Seminarinhalte

Modul 1: Tag 1 – API-Inventar und OWASP-Risikomodell

1. Schritt 1 – Analysieren: Für Endpunkte, Versionen, Verbraucher, Objekte, Geschäftsflüsse, sensible Daten, Owner und Schutzmatrix werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 2: Tag 1 – OpenAPI und Positivmodell

1. Schritt 1 – Analysieren: Für Operationen, Parameter, Datentypen, Pflichtfelder, Fehlerantworten, Contract- und Negativtests werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 3: Tag 1 – JSON-, XML- und Datenkontrollen

1. Schritt 1 – Analysieren: Für Struktur, Tiefe, Größe, unerwartete Felder, Entitäten, Maskierung, Filterung und Datenschutz werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 4: Tag 2 – Authentisierung und objektbezogene Autorisierung

1. Schritt 1 – Analysieren: Für Token, Claims, Rollen, Objekte, fremde IDs, abgelaufene Identität und Anwendungskontrollen werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 5: Tag 2 – Ressourcen- und Missbrauchsschutz

1. Schritt 1 – Analysieren: Für Raten, teure Operationen, Enumeration, Geschäftsflüsse, WebSocket und abgestufte Reaktionen werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 6: Tag 2 – API-Administration und Automatisierung

1. Schritt 1 – Analysieren: Für Verwaltungs-API, Objektabhängigkeiten, idempotente Skripte, Validierung, Audit und Rollback werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 7: Tag 2 – CI/CD und Richtlinienpromotion

1. Schritt 1 – Analysieren: Für Umgebungen, Artefakte, Secrets, Tests, Freigabegates, Stop-Kriterien und Rücknahme werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 8: Tag 3 – WAAP-Containerarchitektur

1. Schritt 1 – Analysieren: Für Image, Registry, Konfiguration, Lizenz, Positivmodell, Verantwortlichkeiten und sichere Herkunft werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 9: Tag 3 – Kubernetes-Bereitstellung

1. Schritt 1 – Analysieren: Für Namespaces, Services, Ingress, Ressourcen, Netzwerkregeln, Zertifikate und Health Checks werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 10: Tag 3 – Skalierung, Observability und Rollback

1. Schritt 1 – Analysieren: Für Metriken, Logs, Replikate, Kapazität, Rolling Update, Fehlerszenario und bekannte Rückfallversion werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 11: Tag 4 – Identity- und Vertrauensarchitektur

1. Schritt 1 – Analysieren: Für Benutzer, Verzeichnis, Identity Provider, Anwendungen, Trust, Zertifikate, Sitzungen und Rollen werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 12: Tag 4 – SAML, OAuth 2.0 und OpenID Connect

1. Schritt 1 – Analysieren: Für Assertions, Tokens, Claims, Redirects, Signaturen, PKCE, Ablauf und Protokollfehler werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 13: Tag 4 – MFA, Session und Zugriffsrichtlinien

1. Schritt 1 – Analysieren: Für Faktoren, Step-up, Recovery, Cookie-Schutz, Sitzungsdauer, Gruppen und kontextbezogene Regeln werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 14: Tag 5 – Cloud Protector und hybrider API-Schutz

1. Schritt 1 – Analysieren: Für API-Domains, Origins, DNS, TLS, Ratenprofile, Cloud-Datenpfad und End-to-End-Telemetrie werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 15: Tag 5 – Integrationsprojekt und Produktionsfreigabe

1. Schritt 1 – Analysieren: Für Build, Deployment, Richtlinienpromotion, SSO und MFA, Sicherheitstests, Monitoring, Abnahme und Rollback werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Praxisaufgaben

1. Einen vollständigen Praxisfall zu Tag 1 – API-Inventar und OWASP-Risikomodell bearbeiten: Endpunkte, Versionen, Verbraucher, Objekte, Geschäftsflüsse, sensible Daten, Owner und Schutzmatrix aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
2. Einen vollständigen Praxisfall zu Tag 1 – OpenAPI und Positivmodell bearbeiten: Operationen, Parameter, Datentypen, Pflichtfelder, Fehlerantworten, Contract- und Negativtests aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
3. Einen vollständigen Praxisfall zu Tag 1 – JSON-, XML- und Datenkontrollen bearbeiten: Struktur, Tiefe, Größe, unerwartete Felder, Entitäten, Maskierung, Filterung und Datenschutz aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
4. Einen vollständigen Praxisfall zu Tag 2 – Authentisierung und objektbezogene Autorisierung bearbeiten: Token, Claims, Rollen, Objekte, fremde IDs, abgelaufene Identität und Anwendungskontrollen aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
5. Einen vollständigen Praxisfall zu Tag 2 – Ressourcen- und Missbrauchsschutz bearbeiten: Raten, teure Operationen, Enumeration, Geschäftsflüsse, WebSocket und abgestufte Reaktionen aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: API- und Softwarearchitektur, DevSecOps, Plattformengineering, Anwendungssicherheit, Identity-Teams, UBIKA-Administration und technische Produktverantwortliche.

Voraussetzungen: Gute HTTP- und TLS-Kenntnisse, Erfahrung mit APIs und Versionsverwaltung. Für die Laboranteile sind Grundkenntnisse in CI/CD, Containern und Kubernetes erforderlich.