Seminar OWASP DefectDojo – Kompaktseminar Plattform, Findings und Automatisierung

Der praxisorientierte Gesamtüberblick für Einführungsteams

Das dreitägige Kompaktformat vermittelt die unmittelbar benötigten Kernkompetenzen für einen strukturierten Einstieg in DefectDojo.

Eine kleine Laborumgebung verbindet Architektur, Datenmodell, Erstimport und Reimport, Deduplizierung, Triage, Risiko, Benutzer, API-/Pipeline-Anbindung, Reporting und Basisbetrieb ohne die Tiefe der spezialisierten Einzelseminare.

Inhaltsverzeichnis

1. Architektur und Einsatzmodell
2. Basisbereitstellung
3. Datenmodell
4. Import und Reimport
5. Deduplizierung und Triage
6. Risiko und SLAs
7. Benutzer und Zugriff
8. API und Pipeline
9. Berichte und Betrieb
10. Durchgängiges Praxisprojekt

Lernziele

• Architektur und Objekthierarchie sicher einordnen.
• Eine kleine Umgebung vorbereiten und ein belastbares Datenmodell anlegen.
• Scanergebnisse importieren, reimportieren, deduplizieren und triagieren.
• Benutzer, Risiko, SLAs und Berichte grundlegend konfigurieren.
• Eine einfache API- oder Pipeline-Anbindung sowie Basisbetrieb umsetzen.

Seminarinhalte

1. Architektur und Einsatzmodell

Schwerpunkt: Komponenten, Editionen, Verantwortlichkeiten, Datenfluss und Einsatzgrenzen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Architektur und Einsatzmodell“ erfassen. Dabei folgende Aspekte berücksichtigen: Komponenten, Editionen, Verantwortlichkeiten, Datenfluss und Einsatzgrenzen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Kompaktes Zielbild erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Basisbereitstellung

Schwerpunkt: Container, Datenbank, Worker, Proxy, Konfiguration, Persistenz und technische Prüfung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Basisbereitstellung“ erfassen. Dabei folgende Aspekte berücksichtigen: Container, Datenbank, Worker, Proxy, Konfiguration, Persistenz und technische Prüfung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Funktionsfähige Laborumgebung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Datenmodell

Schwerpunkt: Product Types, Products, Engagements, Tests, Metadaten und Ownership.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Datenmodell“ erfassen. Dabei folgende Aspekte berücksichtigen: Product Types, Products, Engagements, Tests, Metadaten und Ownership.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Kleines Portfolio-Modell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Import und Reimport

Schwerpunkt: Parser, Erstimport, Folgeimport, Scanserien, Zielzuordnung und Datenqualität.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Import und Reimport“ erfassen. Dabei folgende Aspekte berücksichtigen: Parser, Erstimport, Folgeimport, Scanserien, Zielzuordnung und Datenqualität.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Reproduzierbare Scanaufnahme erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Deduplizierung und Triage

Schwerpunkt: Finding-Identität, Status, Priorisierung, Zuweisung, Behebung und Retest.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Deduplizierung und Triage“ erfassen. Dabei folgende Aspekte berücksichtigen: Finding-Identität, Status, Priorisierung, Zuweisung, Behebung und Retest.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Operativer Finding-Workflow erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Risiko und SLAs

Schwerpunkt: Kontextbewertung, Zieltermine, Eskalation, Risk Acceptance und Ablauf.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Risiko und SLAs“ erfassen. Dabei folgende Aspekte berücksichtigen: Kontextbewertung, Zieltermine, Eskalation, Risk Acceptance und Ablauf.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Kompakte Risikosteuerung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Benutzer und Zugriff

Schwerpunkt: Konten, Produktzugriff, minimale Rechte, API-Konto und Review.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Benutzer und Zugriff“ erfassen. Dabei folgende Aspekte berücksichtigen: Konten, Produktzugriff, minimale Rechte, API-Konto und Review.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Berechtigungsgrundmodell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

8. API und Pipeline

Schwerpunkt: automatisierter Scanimport, Zielsuche, Quality Gate, Secret und Fehlerbehandlung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „API und Pipeline“ erfassen. Dabei folgende Aspekte berücksichtigen: automatisierter Scanimport, Zielsuche, Quality Gate, Secret und Fehlerbehandlung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Einfache Automatisierungsstrecke erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

9. Berichte und Betrieb

Schwerpunkt: Arbeitslisten, Kennzahlen, Kontrollen, Logs, Worker, Backup und Support.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Berichte und Betrieb“ erfassen. Dabei folgende Aspekte berücksichtigen: Arbeitslisten, Kennzahlen, Kontrollen, Logs, Worker, Backup und Support.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Basis-Betriebs- und Berichtspaket erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

10. Durchgängiges Praxisprojekt

Schwerpunkt: Produktanlage, Scanimport, Triage, Risikoentscheidung, Automatisierung, Bericht und Störung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Durchgängiges Praxisprojekt“ erfassen. Dabei folgende Aspekte berücksichtigen: Produktanlage, Scanimport, Triage, Risikoentscheidung, Automatisierung, Bericht und Störung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Abgenommener End-to-End-Fall erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Einführungsteams aus AppSec, DevSecOps, Entwicklung, Plattformbetrieb und technischer Projektleitung mit begrenztem Zeitbudget.

Voraussetzungen: Allgemeine Kenntnisse in Softwareentwicklung, Security oder IT-Betrieb; keine DefectDojo-Vorkenntnisse erforderlich.

Didaktik und Arbeitsweise

Kompakte Fachimpulse, geführte Demonstrationen, durchgängiges Praxisprojekt, kontrollierte Import- und Fehlerfälle sowie technische und fachliche Abnahme. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.