Seminar OWASP DefectDojo – Intensivseminar Plattformbetrieb und Automatisierung

Technischer Intensivpfad für sichere Bereitstellung und automatisierten Betrieb

Das technische Intensivseminar bündelt Installation, Härtung, Administration, API, CI/CD, Monitoring, Performance, Backup, Upgrade und Wiederherstellung.

Alle Themen werden an einer gemeinsamen Laborumgebung mit reproduzierbarer Konfiguration, kontrollierten Scanimporten, Last- und Störungsszenarien sowie vollständiger Betriebsübergabe umgesetzt.

Inhaltsverzeichnis

1. Topologie und Bereitstellung
2. Konfiguration und Secrets
3. Härtung und Zugriffsschutz
4. API-Automatisierung
5. CI/CD-Integration
6. Betriebskontrollen
7. Troubleshooting und Incidents
8. Skalierung und Performance
9. Backup, Upgrade und Rollback
10. Recovery und Produktionsabnahme

Lernziele

• Eine produktionsnahe Topologie dimensionieren, installieren und härten.
• Berechtigungen, API-Konten, Secrets und Integrationszugänge sicher betreiben.
• Import- und CI/CD-Automatisierung resilient und idempotent aufbauen.
• Monitoring, Diagnose, Kapazität und Performance systematisch steuern.
• Backup, Upgrade, Rollback und Wiederherstellung praktisch abnehmen.

Seminarinhalte

1. Topologie und Bereitstellung

Schwerpunkt: Kapazität, Container, Datenbank, Cache, Worker, Scheduler, Proxy, TLS und Persistenz.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Topologie und Bereitstellung“ erfassen. Dabei folgende Aspekte berücksichtigen: Kapazität, Container, Datenbank, Cache, Worker, Scheduler, Proxy, TLS und Persistenz.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Reproduzierbare Plattformumgebung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Konfiguration und Secrets

Schwerpunkt: Anwendungsschlüssel, Zugänge, Mail, Integrationen, sichere Defaults, Umgebungen und Rotation.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Konfiguration und Secrets“ erfassen. Dabei folgende Aspekte berücksichtigen: Anwendungsschlüssel, Zugänge, Mail, Integrationen, sichere Defaults, Umgebungen und Rotation.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Secret- und Konfigurationsstandard erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Härtung und Zugriffsschutz

Schwerpunkt: Bedrohungsmodell, Netzwerk, Header, lokale Anmeldung, SSO-Planung, Berechtigungen und Audit.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Härtung und Zugriffsschutz“ erfassen. Dabei folgende Aspekte berücksichtigen: Bedrohungsmodell, Netzwerk, Header, lokale Anmeldung, SSO-Planung, Berechtigungen und Audit.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Härtungs- und Zugriffskonzept erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. API-Automatisierung

Schwerpunkt: Inventar, Objektpflege, Import, Reimport, Idempotenz, Fehlerbehandlung und Tests.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „API-Automatisierung“ erfassen. Dabei folgende Aspekte berücksichtigen: Inventar, Objektpflege, Import, Reimport, Idempotenz, Fehlerbehandlung und Tests.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Robuste API-Strecke erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. CI/CD-Integration

Schwerpunkt: Artefaktvertrag, Zielzuordnung, Branches, Quality Gates, Secrets, Retry und Monitoring.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „CI/CD-Integration“ erfassen. Dabei folgende Aspekte berücksichtigen: Artefaktvertrag, Zielzuordnung, Branches, Quality Gates, Secrets, Retry und Monitoring.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Security-Pipeline erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Betriebskontrollen

Schwerpunkt: Servicemap, Erreichbarkeit, Queue, Worker, Datenbank, Speicher, Backups und Zertifikate.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Betriebskontrollen“ erfassen. Dabei folgende Aspekte berücksichtigen: Servicemap, Erreichbarkeit, Queue, Worker, Datenbank, Speicher, Backups und Zertifikate.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Betriebskontrollplan erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Troubleshooting und Incidents

Schwerpunkt: Logs, Task-Fluss, Parser, Rechte, Netzwerk, Datenbank, Speicher und externe Integrationen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Troubleshooting und Incidents“ erfassen. Dabei folgende Aspekte berücksichtigen: Logs, Task-Fluss, Parser, Rechte, Netzwerk, Datenbank, Speicher und externe Integrationen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Diagnose- und Incident-Runbook erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

8. Skalierung und Performance

Schwerpunkt: Lastprofil, Worker, Parallelität, Datenbank, Aufbewahrung, Spitzenlast und Kapazitätsprognose.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Skalierung und Performance“ erfassen. Dabei folgende Aspekte berücksichtigen: Lastprofil, Worker, Parallelität, Datenbank, Aufbewahrung, Spitzenlast und Kapazitätsprognose.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Performance-Baseline erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

9. Backup, Upgrade und Rollback

Schwerpunkt: Sicherung, Staging-Test, Datenvalidierung, Wartungsfenster, Cutover und Rückfall.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Backup, Upgrade und Rollback“ erfassen. Dabei folgende Aspekte berücksichtigen: Sicherung, Staging-Test, Datenvalidierung, Wartungsfenster, Cutover und Rückfall.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Upgrade- und Rollback-Paket erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

10. Recovery und Produktionsabnahme

Schwerpunkt: Restore, Integritätsprüfung, Wiederaufnahme von Importen, Schnittstellen, Support und Dokumentation.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Recovery und Produktionsabnahme“ erfassen. Dabei folgende Aspekte berücksichtigen: Restore, Integritätsprüfung, Wiederaufnahme von Importen, Schnittstellen, Support und Dokumentation.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Getestete Recovery und Betriebsfreigabe erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Plattformadministration, DevOps und SRE, Datenbankbetrieb, Security Engineering, CI/CD-Plattformteams, Integrationsentwicklung und technische Serviceverantwortung.

Voraussetzungen: Sichere Linux-, Container-, Netzwerk- und Datenbankkenntnisse sowie Grundlagen in REST-APIs und CI/CD; DefectDojo-Grundkenntnisse sind empfohlen.

Didaktik und Arbeitsweise

Fachimpulse, Aufbau einer Laborumgebung, API- und Pipeline-Labore, Last- und Störungstests, Upgrade-/Restore-Übung und Betriebsabnahme. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.