Seminar ArcherySec – Kompaktseminar Plattform, Scans und Workflows

Praxisorientierter Kompetenzaufbau für einen kompakten End-to-End-Arbeitsfluss von Architektur und Grundkonfiguration über Scanner, Import und Triage bis zu Dashboard, Collaboration und Automation

ArcherySec verbindet technische Prüfungen, zentrale Finding-Daten, Automatisierung und geregelte Zusammenarbeit. Dieses Seminar konzentriert sich auf einen kompakten End-to-End-Arbeitsfluss von Architektur und Grundkonfiguration über Scanner, Import und Triage bis zu Dashboard, Collaboration und Automation.

Die Bearbeitung folgt einem festen Vorgehen: Ausgangslage und Freigabe prüfen, Konfiguration vorbereiten, Arbeitsschritt durchführen, Ergebnis am System kontrollieren und den Sollzustand dokumentieren. So entstehen nicht nur Bedienkenntnisse, sondern belastbare Betriebs- und Qualitätsnachweise.

Inhaltsübersicht

• Einordnung und Zielsetzung
• Zielgruppe
• Lernziele
• Seminarinhalte mit Schritt-für-Schritt-Anleitungen
• Praxisübungen
• Voraussetzungen

Einordnung und Zielsetzung

Das Seminar vermittelt einen kompakten End-to-End-Arbeitsfluss von Architektur und Grundkonfiguration über Scanner, Import und Triage bis zu Dashboard, Collaboration und Automation. Die Inhalte werden in einer isolierten Schulungsumgebung schrittweise vorbereitet, durchgeführt, geprüft und in einen nachvollziehbaren Arbeits- und Betriebsablauf überführt.

Zielgruppe

Technische ArcherySec-Einsteiger, Application Security, DevSecOps, Plattformbetrieb und Vulnerability Management

Lernziele

• Anforderungen, Systemgrenzen und Verantwortlichkeiten zu einem prüfbaren Zielbild verbinden.
• Personenrechte nach Aufgabe und Minimalprinzip einrichten und überprüfen.
• SCA-Ergebnisse mit Repository-, Build- und Finding-Kontext zentral verwalten.
• SCA-Ergebnisse mit Repository-, Build- und Finding-Kontext zentral verwalten.
• Findings belastbar bewerten, entscheiden, zuweisen und bis zur Nachprüfung verfolgen.
• ArcherySec-Operationen per API sicher und wiederholbar automatisieren.

Seminarinhalte

Die Module bauen aufeinander auf. Jeder Abschnitt enthält einen definierten Prüfpunkt, bevor der nächste Arbeitsschritt beginnt.

Modul 1: Architektur, Installation und sichere Baseline

Modulziel: Anforderungen, Systemgrenzen und Verantwortlichkeiten zu einem prüfbaren Zielbild verbinden.

1. Bestehende Abläufe, beteiligte Systeme, Datenarten und verantwortliche Rollen erfassen.
2. Anwendungsfälle, klare Nicht-Ziele und messbare Entscheidungskriterien festlegen.
3. Datenflüsse, Vertrauensgrenzen, technische Identitäten und Abhängigkeiten darstellen.
4. Risiken, offene Annahmen und notwendige Vorentscheidungen dokumentieren.
5. Einen priorisierten Umsetzungsschritt mit Eigentümer und Abnahmekriterien bestimmen.

Modul 2: Benutzer, Projekte und Zugriffsschlüssel

Modulziel: Personenrechte nach Aufgabe und Minimalprinzip einrichten und überprüfen.

1. Tätigkeitsprofile für Administration, Analyse und lesenden Zugriff definieren.
2. Testkonten anlegen und den vorgesehenen Rollen zuordnen.
3. Erlaubte und bewusst nicht erlaubte Aktionen mit repräsentativen Fällen prüfen.
4. Überberechtigungen korrigieren und den Sollzustand in einer Rechte-Matrix festhalten.
5. Rollenwechsel, Sperrung und Deprovisionierung als kontrollierten Lebenszyklus testen.

Modul 3: Connectoren und technische Scans

Modulziel: SCA-Ergebnisse mit Repository-, Build- und Finding-Kontext zentral verwalten.

1. Projekt, Repository, Branch, Commit, Build und Ziel als Zuordnungsdaten festlegen.
2. SCA-Report auf Format, Scannerkennung, Vollständigkeit und Dateiintegrität prüfen.
3. Upload durchführen und Codeort, Regel beziehungsweise Komponente und Version stichprobenartig vergleichen.
4. Schweregrad mit Produktkritikalität, Ausführungspfad oder Nutzungskontext ergänzen.
5. Behebung, Folgelauf und Schließung anhand desselben Build- und Projektbezugs nachweisen.

Modul 4: Scan-Import und Datenkonsolidierung

Modulziel: SCA-Ergebnisse mit Repository-, Build- und Finding-Kontext zentral verwalten.

1. Projekt, Repository, Branch, Commit, Build und Ziel als Zuordnungsdaten festlegen.
2. SCA-Report auf Format, Scannerkennung, Vollständigkeit und Dateiintegrität prüfen.
3. Upload durchführen und Codeort, Regel beziehungsweise Komponente und Version stichprobenartig vergleichen.
4. Schweregrad mit Produktkritikalität, Ausführungspfad oder Nutzungskontext ergänzen.
5. Behebung, Folgelauf und Schließung anhand desselben Build- und Projektbezugs nachweisen.

Modul 5: Vulnerability Management und Dashboards

Modulziel: Findings belastbar bewerten, entscheiden, zuweisen und bis zur Nachprüfung verfolgen.

1. Projekt, Ziel, Scanner, technischer Beleg und betroffene Komponente auf Datenqualität prüfen.
2. Schweregrad mit Exposition, Ausnutzbarkeit, Assetkritikalität und vorhandenen Kontrollen ergänzen.
3. False Positive, nicht anwendbar, Duplikat und akzeptiertes Risiko klar unterscheiden.
4. Eigentümer, Maßnahme, Zieltermin, Zwischenkontrolle und Eskalation zuordnen.
5. Vergleichbaren Nachtest durchführen und Schließung nur mit nachvollziehbarem Nachweis vornehmen.

Modul 6: Collaboration, API und CI/CD-Grundmuster

Modulziel: ArcherySec-Operationen per API sicher und wiederholbar automatisieren.

1. Endpunkt, Projekt, Ziel, Eingabedaten und erwartete Antwortstruktur festlegen.
2. Zugriffsschlüssel aus geschützter Konfiguration laden und einen Lesetest ausführen.
3. Statuscodes, Antwortfelder, Zeitlimits und Berechtigungsfehler strukturiert auswerten.
4. Wiederholungen, Abbruchbedingungen und eindeutige Rückgabecodes implementieren.
5. Protokollierung so gestalten, dass Laufdaten sichtbar, Geheimnisse aber maskiert bleiben.

Praxisübungen

1. Den Themenbereich „Architektur, Installation und sichere Baseline“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Einen priorisierten Umsetzungsschritt mit Eigentümer und Abnahmekriterien bestimmen.“ abnehmen.
2. Den Themenbereich „Connectoren und technische Scans“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Behebung, Folgelauf und Schließung anhand desselben Build- und Projektbezugs nachweisen.“ abnehmen.
3. Den Themenbereich „Vulnerability Management und Dashboards“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Vergleichbaren Nachtest durchführen und Schließung nur mit nachvollziehbarem Nachweis vornehmen.“ abnehmen.
4. Den Themenbereich „Collaboration, API und CI/CD-Grundmuster“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Protokollierung so gestalten, dass Laufdaten sichtbar, Geheimnisse aber maskiert bleiben.“ abnehmen.
5. Einen absichtlich erzeugten Fehler anhand von Zeitstempel, Laufkennung, Dienstzustand und Protokollen eingrenzen.
6. Eine kompakte Kontrollliste mit Sollzustand, Eigentümer, Wiederholungsintervall und Eskalationsweg erstellen.

Voraussetzungen

Grundkenntnisse zu Webanwendungen, Schwachstellenmanagement, Linux und Docker sowie eine isolierte Laborumgebung