Seminar ProjectDiscovery Nuclei – Automatisierung in CI/CD und DevSecOps

Automatisierte Sicherheitsprüfungen müssen schnell, deterministisch und nachvollziehbar sein. Das Seminar entwickelt aus einem manuellen Nuclei-Lauf einen versionierten Pipelinebaustein mit klarer Zielauswahl, begrenzter Laufzeit, belastbaren Abbruchregeln und verwertbaren Ergebnisformaten.

Inhaltsübersicht

• Zielgruppe
• Voraussetzungen
• Lernziele
• Seminarinhalte
• Modul 1: Pipeline-Architektur und Kontrollpunkte
• Modul 2: Reproduzierbare Laufzeit und Template-Bestand
• Modul 3: Zielbereitstellung und sichere Kontextübergabe
• Modul 4: Scanprofile und zeitlich begrenzte Prüfungen
• Modul 5: Ergebnisformate, Baselines und Qualitätsgates
• Modul 6: Regressionstests und Betriebsstabilität
• Praxisübungen
• Methodik

Zielgruppe

• DevSecOps-, Plattform- und Cloud-Engineering-Teams
• CI/CD- und Release-Management-Verantwortliche
• Application-Security- und Product-Security-Teams
• Softwareentwicklung, Qualitätssicherung und technische Betriebsführung

Voraussetzungen

• Grundkenntnisse zu Nuclei, YAML und Kommandozeilenwerkzeugen
• Verständnis eines CI/CD-Systems und seiner Job-, Artifact- und Secret-Mechanismen
• Grundlagen zu HTTP, Containern und Versionsverwaltung
• Freigegebene Testumgebung mit reproduzierbarem Deployment

Lernziele

• Geeignete Scanpunkte innerhalb einer Delivery-Pipeline bestimmen
• Nuclei-Version, Templates und Scanprofile reproduzierbar fixieren
• Schnelle Pull-Request-Prüfungen von umfassenderen periodischen Scans trennen
• Qualitätsgates anhand von Schweregrad, Vertrauensniveau und Baseline gestalten
• JSONL- und SARIF-Ergebnisse automatisiert weiterverarbeiten
• Timeouts, Fehlercodes, Wiederholungen und Artefakte betriebssicher behandeln

Seminarinhalte

Die Inhalte werden vom sicheren Aufbau einer Laborumgebung bis zur reproduzierbaren Anwendung in Entwicklungs-, Betriebs- und Sicherheitsprozessen erarbeitet. Jeder Themenblock verbindet fachliche Einordnung, Konfiguration, Ausführung, Auswertung und Qualitätssicherung.

1. Pipeline-Architektur und Kontrollpunkte

Sicherheitsprüfungen werden entlang des Software-Lebenszyklus platziert. Unterschiedliche Auslöser erhalten passende Ziele, Template-Sätze, Laufzeitbudgets und Eskalationswege.

Schritt-für-Schritt-Vorgehen

1. Build-, Test-, Staging- und Freigabeschritte des vorhandenen Prozesses erfassen
2. Für jeden Schritt verfügbares Testziel und zulässige Prüfintensität bestimmen
3. Pull-Request-, Nightly- und Release-Scans voneinander abgrenzen
4. Laufzeitbudget, Verantwortlichkeit und Fehlerbehandlung je Scanpunkt festlegen
5. Eine Pipeline-Matrix mit Trigger, Profil, Ausgabe und Gate erstellen

2. Reproduzierbare Laufzeit und Template-Bestand

Versionen und Konfigurationen werden so fixiert, dass Ergebnisse zwischen Läufen vergleichbar bleiben. Aktualisierungen erfolgen kontrolliert und werden vor der Freigabe getestet.

Schritt-für-Schritt-Vorgehen

1. Nuclei-Version und Ausführungsumgebung eindeutig festlegen
2. Verwendeten Template-Bestand versionieren oder auf einen geprüften Stand fixieren
3. Eigene Templates mit Review- und Freigabestatus kennzeichnen
4. Konfigurationsparameter in ein nachvollziehbares Scanprofil überführen
5. Update-Prozess mit Testlauf, Freigabe und Rückfallmöglichkeit dokumentieren

3. Zielbereitstellung und sichere Kontextübergabe

Pipeline-Ziele, API-Beschreibungen, Header und Secrets werden kontrolliert an den Scan übergeben. Temporäre Umgebungen erhalten eindeutige Lebenszyklen und Bereinigungsregeln.

Schritt-für-Schritt-Vorgehen

1. Ziel-URL oder Zielinventar aus dem Deployment-Ergebnis ableiten
2. Erreichbarkeit und Gesundheitszustand vor dem Scan prüfen
3. Authentifizierungswerte ausschließlich über den vorgesehenen Secret-Mechanismus bereitstellen
4. Testdaten und erlaubte Mandanten oder Namespaces eindeutig begrenzen
5. Temporäre Ziele und Zugangsdaten nach dem Lauf automatisiert bereinigen

4. Scanprofile und zeitlich begrenzte Prüfungen

Schnelle Prüfprofile konzentrieren sich auf relevante, nicht destruktive Templates. Umfangreichere Profile laufen mit separaten Ressourcen und längeren Zeitfenstern.

Schritt-für-Schritt-Vorgehen

1. Templates nach Technologie, Schweregrad und Prüfzweck auswählen
2. Nicht zulässige oder zu lang laufende Prüfschritte explizit ausschließen
3. Rate-Limits, Parallelität, Timeouts und Wiederholungen auf das Pipeline-Budget abstimmen
4. Einen schnellen Smoke-Scan und einen vertieften periodischen Scan konfigurieren
5. Messwerte zu Dauer, Request-Anzahl und Abdeckung für beide Profile erfassen

5. Ergebnisformate, Baselines und Qualitätsgates

Maschinenlesbare Ausgaben werden normalisiert, archiviert und gegen bekannte Befunde verglichen. Ein Gate reagiert nur auf definierte neue oder verschärfte Befunde.

Schritt-für-Schritt-Vorgehen

1. JSONL als vollständiges Analyseformat und SARIF für Code-Scanning-Oberflächen erzeugen
2. Ergebnisfelder wie Template-ID, Ziel, Matcher, Schweregrad und Zeitstempel prüfen
3. Akzeptierte Altbefunde in einer nachvollziehbaren Baseline erfassen
4. Regeln für neue, wiederkehrende und behobene Befunde definieren
5. Gate-Verhalten für Warnung, Jobfehler und manuelle Freigabe testen

6. Regressionstests und Betriebsstabilität

Eigene Templates und Pipelineprofile erhalten positive und negative Testfälle. Fehlercodes, Netzwerkstörungen und Teilresultate werden so behandelt, dass keine falsche Sicherheit entsteht.

Schritt-für-Schritt-Vorgehen

1. Für ein Template einen verwundbaren und einen bereinigten Testzustand bereitstellen
2. Erwartete Treffer und erwartete Nichttreffer als Regressionstest formulieren
3. Netzwerkfehler, Timeout und nicht erreichbares Ziel getrennt von einem sauberen Ergebnis behandeln
4. Logs, Scanresultate und Laufzeitmetriken als Artefakte mit Aufbewahrungsregeln sichern
5. Betriebsanweisung für Störung, Rückfall und kontrollierte Wiederholung erstellen

Praxisübungen

• Aufbau eines schnellen Pull-Request-Scans mit begrenztem Template-Satz
• Erzeugung und Prüfung von JSONL- und SARIF-Artefakten
• Einrichtung eines Baseline-basierten Gates für neue relevante Befunde
• Regressionstest eines eigenen Templates gegen verwundbaren und bereinigten Zustand
• Simulation eines Timeouts und korrekte Unterscheidung zwischen Scanfehler und negativem Prüfergebnis

Methodik

• Fachliche Einordnung mit kompakten Demonstrationen
• Nachvollziehbare Schritt-für-Schritt-Übungen in einer isolierten Laborumgebung
• Analyse typischer Fehlkonfigurationen, Fehlalarme und Betriebsrisiken
• Übertragung der erarbeiteten Muster auf eigene technische und organisatorische Rahmenbedingungen