Seminar Adfinis Open Source Security Testing in der Pipeline

Security Testing wird erst nützlich, wenn Ergebnisse dort entstehen, wo Teams arbeiten, und wenn sie priorisiert werden können. Dieses Seminar zeigt, wie verschiedene Prüfarten in Pipelines eingebettet und Findings sinnvoll behandelt werden.

Inhaltsübersicht

• Prüfarten und Einsatzpunkte
• SAST und Dependency Scanning
• Secret Detection und Konfigurationsprüfungen
• DAST-orientierte Grundmuster
• Findings, Schwellwerte und Priorisierung

Zielgruppe

Geeignet für Entwicklung, Qualitätssicherung und Security Engineering, wenn Sicherheitsprüfungen automatisiert und in normalen Entwicklungsabläufen nutzbar werden sollen.

Voraussetzungen

Teilnehmende sollten Merge Requests, einfache Pipeline-Abläufe und typische Teststufen kennen.

Seminarinhalte

1. Schritt 1: Prüfstrategie festlegen
   Code-, Abhängigkeits-, Secret-, Konfigurations- und Laufzeitprüfungen werden nach Zweck und Zeitpunkt unterschieden.
2. Schritt 2: SAST integrieren
   Statische Codeanalyse wird in Merge Requests eingebunden und mit verständlichen Ergebnisregeln versehen.
3. Schritt 3: Abhängigkeiten prüfen
   Bibliotheken, Paketmanager und bekannte Schwachstellen werden automatisiert analysiert.
4. Schritt 4: Secrets erkennen
   Unbeabsichtigt eingecheckte Zugangsdaten werden identifiziert und mit Sofortmaßnahmen verbunden.
5. Schritt 5: DAST einordnen
   Dynamische Prüfungen werden für geeignete Testumgebungen vorbereitet, ohne instabile Pipeline-Läufe zu erzeugen.
6. Schritt 6: Findings priorisieren
   Schweregrad, Ausnutzbarkeit, Kontext und Kompensationsmaßnahmen werden für Entscheidungen zusammengeführt.
7. Schritt 7: False Positives behandeln
   Ausnahmen, Unterdrückungen und technische Schulden werden nachvollziehbar dokumentiert.
8. Schritt 8: Teamprozess festlegen
   Verantwortlichkeiten, Bearbeitungsfristen und Eskalationswege werden in den Entwicklungsprozess integriert.

Praxisübungen

• Einbindung eines SAST-Checks
• Bewertung von Dependency-Findings
• Secret-Fund mit Rotationsprozess
• Erstellung eines Priorisierungsschemas