Seminar OWASP DefectDojo – Datenmodell, Produkte und Engagements

Ein wartbares Portfolio- und Prüfmodell entwickeln

Das Seminar übersetzt Anwendungsportfolio, Teams, Releases, Umgebungen und Scanserien in die DefectDojo-Objekthierarchie.

Im Mittelpunkt stehen klare Produktgrenzen, belastbare Engagement- und Testkonventionen, Pflichtmetadaten sowie Governance gegen Dubletten und verwaiste Objekte.

Inhaltsverzeichnis

1. Objekthierarchie und Beziehungen
2. Product Types als Portfoliostruktur
3. Products und Ownership
4. Engagements für Prüfvorhaben
5. Tests als Scanserien
6. Taxonomie und Pflichtmetadaten
7. Governance des Datenmodells

Lernziele

• Product Types und Products aus realen Portfolio- und Ownership-Strukturen ableiten.
• Engagements für kontinuierliche Scans, Releases und zeitlich begrenzte Prüfungen modellieren.
• Tests für unterschiedliche Scanner und wiederkehrende Scanserien konsistent strukturieren.
• Tags und Pflichtmetadaten für Suche, Reporting und Automatisierung definieren.
• Anlage, Änderung, Archivierung und Qualitätskontrolle organisatorisch absichern.

Seminarinhalte

1. Objekthierarchie und Beziehungen

Schwerpunkt: Product Types, Products, Engagements, Tests, Findings, Endpoints und Metadaten.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Objekthierarchie und Beziehungen“ erfassen. Dabei folgende Aspekte berücksichtigen: Product Types, Products, Engagements, Tests, Findings, Endpoints und Metadaten.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Vollständiges Objekt- und Beziehungsschema erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Product Types als Portfoliostruktur

Schwerpunkt: Geschäftsbereiche, Plattformen, Produktfamilien, Mandanten und Berechtigungsgrenzen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Product Types als Portfoliostruktur“ erfassen. Dabei folgende Aspekte berücksichtigen: Geschäftsbereiche, Plattformen, Produktfamilien, Mandanten und Berechtigungsgrenzen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Portfoliokonvention für Product Types erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Products und Ownership

Schwerpunkt: Anwendungen, Services, Bibliotheken, Plattformkomponenten, Eigentümer, Kritikalität und Lebenszyklus.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Products und Ownership“ erfassen. Dabei folgende Aspekte berücksichtigen: Anwendungen, Services, Bibliotheken, Plattformkomponenten, Eigentümer, Kritikalität und Lebenszyklus.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Product-Template mit Pflichtmetadaten erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Engagements für Prüfvorhaben

Schwerpunkt: Releases, Quartale, Penetrationstests, Branches, Umgebungen und kontinuierliche Prüfungen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Engagements für Prüfvorhaben“ erfassen. Dabei folgende Aspekte berücksichtigen: Releases, Quartale, Penetrationstests, Branches, Umgebungen und kontinuierliche Prüfungen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Engagement-Konvention erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Tests als Scanserien

Schwerpunkt: Scanart, Parserformat, Zeitbezug, Umgebung, Branch, Version und wiederholte Einlieferung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Tests als Scanserien“ erfassen. Dabei folgende Aspekte berücksichtigen: Scanart, Parserformat, Zeitbezug, Umgebung, Branch, Version und wiederholte Einlieferung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Testtyp- und Namenskonvention erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Taxonomie und Pflichtmetadaten

Schwerpunkt: Kritikalität, Team, Umgebung, Exposition, Datenklasse, Repository und Servicekatalogbezug.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Taxonomie und Pflichtmetadaten“ erfassen. Dabei folgende Aspekte berücksichtigen: Kritikalität, Team, Umgebung, Exposition, Datenklasse, Repository und Servicekatalogbezug.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Metadatenkatalog mit Validierungsregeln erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Governance des Datenmodells

Schwerpunkt: Anlageberechtigung, Archivierung, Zusammenführung, Stilllegung und regelmäßige Qualitätskontrolle.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Governance des Datenmodells“ erfassen. Dabei folgende Aspekte berücksichtigen: Anlageberechtigung, Archivierung, Zusammenführung, Stilllegung und regelmäßige Qualitätskontrolle.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Governance-Verfahren für Plattformdaten erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: AppSec-Teams, DefectDojo-Administratoren, Product Security, Softwarearchitekten, Portfolio- und Serviceverantwortliche sowie DevSecOps Engineering.

Voraussetzungen: Grundkenntnisse von DefectDojo oder Teilnahme am Grundlagenkurs; Kenntnis des eigenen Anwendungs- und Scannerportfolios ist hilfreich.

Didaktik und Arbeitsweise

Fachvortrag, Modellierungsworkshop, praktische Objektanlage, Variantenvergleich, Datenqualitätsprüfung und Governance-Review. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.