Seminar OWASP secureCodeBox – Kompaktseminar Continuous Security Scanning

Das Kompaktformat vermittelt in drei Tagen einen belastbaren Gesamtüberblick und ausreichend Praxis für einen ersten Pilotbetrieb. Es verbindet Installation, zentrale Scannerklassen, Automatisierung, Finding-Verarbeitung und Betriebsgrundlagen, ohne die spezialisierten Vertiefungen vollständig zu ersetzen.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Architektur, Installation und Scanlebenszyklus im Gesamtzusammenhang verstehen
• Mehrere repräsentative Netzwerk-, Web-, Repository- und Container-Scans durchführen
• ScheduledScans, AutoDiscovery und Cascading Scans grundlegend einsetzen
• Findings auswerten, Berichte erzeugen und eine externe Übergabe vorbereiten
• Einen abgegrenzten Pilotbetrieb mit Rollen, Scope und nächsten Schritten planen

Zielgruppe

Neue Plattform- und Security-Teams, DevSecOps, technische Projektleitung, künftige Administratoren und Anwender mit breitem Überblicksbedarf.

Voraussetzungen

Kubernetes- und YAML-Grundkenntnisse sowie allgemeines Verständnis von Netzwerken, Webanwendungen, Git und Containern.

Seminarinhalte

1. Schritt 1: Einsatzbild und Scope bestimmen

   Ziele, Assets, Rollen, erlaubte Scanner, Netzgrenzen und Erfolgskriterien werden für den dreitägigen Pilotfall festgelegt.

2. Schritt 2: Architektur und Custom Resources einordnen

   Operator, Scan, ScanType, Parser, Hook, Storage, ScheduledScan, AutoDiscovery und CascadingRule werden in einem gemeinsamen Ablaufmodell verbunden.

3. Schritt 3: Plattform installieren

   Voraussetzungen, Namespace, Helm-Werte, Operator, Ergebnisspeicherung und ein erster Scanner werden reproduzierbar bereitgestellt.

4. Schritt 4: Ersten Scan vollständig auswerten

   Manifest, Job, Pod, Events, Logs, Rohresultat, Parser und Findings werden an jedem Kontrollpunkt geprüft.

5. Schritt 5: Netzwerk- und Diensterkennung durchführen

   Nmap und ausgewählte Folgescanner erfassen Hosts, Ports und Dienste in einem klar begrenzten Zielbereich.

6. Schritt 6: Web- und API-Prüfung demonstrieren

   Nuclei und ZAP Automation Framework werden mit sicheren Profilen, Scope, Rate Limits und nachvollziehbarer Finding-Ausgabe eingesetzt.

7. Schritt 7: Repository und Secrets prüfen

   Ein Quellbestand wird bereitgestellt und mit Gitleaks oder Semgrep untersucht. Baseline und Ausschlüsse werden eingeordnet.

8. Schritt 8: Container und SBOM prüfen

   Ein Image wird per Digest mit Trivy untersucht; eine SBOM wird erzeugt und dem Artefakt eindeutig zugeordnet.

9. Schritt 9: Zeitpläne und AutoDiscovery einsetzen

   Ein wiederkehrender Scan und eine automatische Erkennung für Services oder Container werden mit Labels und Ressourcenlimits konfiguriert.

10. Schritt 10: Kaskadierenden Scan aufbauen

    Ein Discovery-Ergebnis löst einen passenden Folgescan aus. Zielübergabe, Bedingung und Begrenzung werden nachvollzogen.

11. Schritt 11: Findings nachbearbeiten und berichten

    Severity, Identität, Dubletten, Finding Post Processing, statischer Report und Benachrichtigung werden in einer kleinen Hook-Kette verbunden.

12. Schritt 12: Betrieb und Sicherheit absichern

    RBAC, Secrets, NetworkPolicies, Ressourcen, Logs, Aufräumen, Upgrade und Fehlerdiagnose werden als Mindestbetriebskatalog zusammengefasst.

13. Schritt 13: Pilotplan erstellen

    Scannerprofil, Zeitplan, Integrationsziel, Verantwortlichkeiten, Abnahme, Kennzahlen und Ausbaupfad werden für einen realistischen Pilot dokumentiert.

Praxisübungen

• Eine Testinstallation mit mindestens zwei Scannern aufbauen
• Netzwerk-, Web-, Repository- und Image-Scan exemplarisch durchführen
• ScheduledScan oder AutoDiscovery konfigurieren
• Eine einfache CascadingRule testen
• Findings in Bericht und Benachrichtigung überführen
• Einen Pilotsteckbrief mit Scope, Rollen und Betriebsanforderungen erstellen

Methodik

Drei kompakte Tage mit kurzen Theorieblöcken, Live-Demonstrationen und einem fortlaufenden Pilotfall. Der Schwerpunkt liegt auf dem Gesamtzusammenhang und auf wiederholbaren Standardabläufen.