Seminar ArcherySec – Intensivseminar DevSecOps und Automatisierung

Praxisorientierter Kompetenzaufbau für die durchgängige DevSecOps-Integration mit API, CLI, SAST, SCA, Container- und IaC-Reports, Policies, Security Gates, Ausnahmen und Monitoring

ArcherySec verbindet technische Prüfungen, zentrale Finding-Daten, Automatisierung und geregelte Zusammenarbeit. Dieses Seminar konzentriert sich auf die durchgängige DevSecOps-Integration mit API, CLI, SAST, SCA, Container- und IaC-Reports, Policies, Security Gates, Ausnahmen und Monitoring.

Die Bearbeitung folgt einem festen Vorgehen: Ausgangslage und Freigabe prüfen, Konfiguration vorbereiten, Arbeitsschritt durchführen, Ergebnis am System kontrollieren und den Sollzustand dokumentieren. So entstehen nicht nur Bedienkenntnisse, sondern belastbare Betriebs- und Qualitätsnachweise.

Inhaltsübersicht

• Einordnung und Zielsetzung
• Zielgruppe
• Lernziele
• Seminarinhalte mit Schritt-für-Schritt-Anleitungen
• Praxisübungen
• Voraussetzungen

Einordnung und Zielsetzung

Das Seminar vermittelt die durchgängige DevSecOps-Integration mit API, CLI, SAST, SCA, Container- und IaC-Reports, Policies, Security Gates, Ausnahmen und Monitoring. Die Inhalte werden in einer isolierten Schulungsumgebung schrittweise vorbereitet, durchgeführt, geprüft und in einen nachvollziehbaren Arbeits- und Betriebsablauf überführt.

Zielgruppe

DevSecOps, CI/CD-Plattformteams, Application-Security-Engineering und Build- und Release-Engineering

Lernziele

• Anforderungen, Systemgrenzen und Verantwortlichkeiten zu einem prüfbaren Zielbild verbinden.
• Maschinelle Zugriffe zweckgebunden, sicher und nachvollziehbar verwalten.
• ArcherySec-Operationen per API sicher und wiederholbar automatisieren.
• Scannerartefakte per CLI reproduzierbar validieren und übertragen.
• SAST-Ergebnisse mit Repository-, Build- und Finding-Kontext zentral verwalten.
• SCA-Ergebnisse mit Repository-, Build- und Finding-Kontext zentral verwalten.
• Cloud-, Container-, IaC- oder Compliance-Befunde eindeutig zuordnen und konsolidieren.

Seminarinhalte

Die Module bauen aufeinander auf. Jeder Abschnitt enthält einen definierten Prüfpunkt, bevor der nächste Arbeitsschritt beginnt.

Modul 1: DevSecOps-Zielbild und Datenmodell

Modulziel: Anforderungen, Systemgrenzen und Verantwortlichkeiten zu einem prüfbaren Zielbild verbinden.

1. Bestehende Abläufe, beteiligte Systeme, Datenarten und verantwortliche Rollen erfassen.
2. Anwendungsfälle, klare Nicht-Ziele und messbare Entscheidungskriterien festlegen.
3. Datenflüsse, Vertrauensgrenzen, technische Identitäten und Abhängigkeiten darstellen.
4. Risiken, offene Annahmen und notwendige Vorentscheidungen dokumentieren.
5. Einen priorisierten Umsetzungsschritt mit Eigentümer und Abnahmekriterien bestimmen.

Modul 2: Technische Identitäten und Geheimnisse

Modulziel: Maschinelle Zugriffe zweckgebunden, sicher und nachvollziehbar verwalten.

1. Automationszweck, technische Identität und minimal benötigte Berechtigungen bestimmen.
2. Einen Zugriffsschlüssel erzeugen und ausschließlich in geschützter Konfiguration hinterlegen.
3. Authentifizierung und erlaubte Aktion mit einem kontrollierten Testaufruf prüfen.
4. Fehlgeschlagene und unzulässige Aufrufe auswerten, ohne Geheimniswerte zu protokollieren.
5. Besitz, Rotation, Sperrung, Verlustmeldung und Bestandskontrolle festlegen.

Modul 3: API-Automatisierung

Modulziel: ArcherySec-Operationen per API sicher und wiederholbar automatisieren.

1. Endpunkt, Projekt, Ziel, Eingabedaten und erwartete Antwortstruktur festlegen.
2. Zugriffsschlüssel aus geschützter Konfiguration laden und einen Lesetest ausführen.
3. Statuscodes, Antwortfelder, Zeitlimits und Berechtigungsfehler strukturiert auswerten.
4. Wiederholungen, Abbruchbedingungen und eindeutige Rückgabecodes implementieren.
5. Protokollierung so gestalten, dass Laufdaten sichtbar, Geheimnisse aber maskiert bleiben.

Modul 4: CLI und Report-Automation

Modulziel: Scannerartefakte per CLI reproduzierbar validieren und übertragen.

1. Reportdatei, Scannerformat, Projekt, Ziel und Laufkennung als Pflichtwerte prüfen.
2. CLI-Konfiguration und technischen Zugriff in einer isolierten Umgebung vorbereiten.
3. Upload ausführen und Rückgabecode sowie Plattformstatus unmittelbar vergleichen.
4. Importierte Findings gegen Dateiname, Scannerart, Ziel und Stichprobe kontrollieren.
5. Doppelten Upload, fehlende Datei, Parserfehler und Wiederanlauf getrennt behandeln.

Modul 5: SAST-Ergebnisse und Build-Kontext

Modulziel: SAST-Ergebnisse mit Repository-, Build- und Finding-Kontext zentral verwalten.

1. Projekt, Repository, Branch, Commit, Build und Ziel als Zuordnungsdaten festlegen.
2. SAST-Report auf Format, Scannerkennung, Vollständigkeit und Dateiintegrität prüfen.
3. Upload durchführen und Codeort, Regel beziehungsweise Komponente und Version stichprobenartig vergleichen.
4. Schweregrad mit Produktkritikalität, Ausführungspfad oder Nutzungskontext ergänzen.
5. Behebung, Folgelauf und Schließung anhand desselben Build- und Projektbezugs nachweisen.

Modul 6: SCA-Ergebnisse und Abhängigkeiten

Modulziel: SCA-Ergebnisse mit Repository-, Build- und Finding-Kontext zentral verwalten.

1. Projekt, Repository, Branch, Commit, Build und Ziel als Zuordnungsdaten festlegen.
2. SCA-Report auf Format, Scannerkennung, Vollständigkeit und Dateiintegrität prüfen.
3. Upload durchführen und Codeort, Regel beziehungsweise Komponente und Version stichprobenartig vergleichen.
4. Schweregrad mit Produktkritikalität, Ausführungspfad oder Nutzungskontext ergänzen.
5. Behebung, Folgelauf und Schließung anhand desselben Build- und Projektbezugs nachweisen.

Modul 7: Container, IaC und Cloud

Modulziel: Cloud-, Container-, IaC- oder Compliance-Befunde eindeutig zuordnen und konsolidieren.

1. Assettyp, Umgebung, Eigentümer, Kritikalität, Build oder Ressourcenkennung festlegen.
2. Scannerreport auf Format, Vollständigkeit, Version und notwendige Metadaten prüfen.
3. Projekt, Ziel und unveränderlichen Artefakt- oder Ressourcenbezug bestimmen.
4. Report importieren und repräsentative Findings gegen den ursprünglichen Datensatz kontrollieren.
5. Exposition, Produktionsbezug, Ausnahmen und erneute Prüfung in die Priorisierung aufnehmen.

Modul 8: CI/CD-Policies und Schwellenwerte

Modulziel: Policy-basierte Sicherheitsentscheidungen nachvollziehbar in die Pipeline integrieren.

1. Pipelinephasen, verfügbare Artefakte und geeignete Zeitpunkte für SAST, SCA, Container und DAST erfassen.
2. Technische Identität, Projekt, Ziel und geschützte Pipeline-Variablen vorbereiten.
3. Schwellenwerte für hohe, mittlere und niedrige Findings fachlich begründen und konfigurieren.
4. Erfolgreichen Lauf, erwartete Blockierung und technischen Ausfall gezielt testen.
5. Ausnahme, Ablaufdatum, erneute Prüfung und entwicklergerechte Rückmeldung dokumentieren.

Modul 9: Pipeline-Integration und Security Gates

Modulziel: Policy-basierte Sicherheitsentscheidungen nachvollziehbar in die Pipeline integrieren.

1. Pipelinephasen, verfügbare Artefakte und geeignete Zeitpunkte für SAST, SCA, Container und DAST erfassen.
2. Technische Identität, Projekt, Ziel und geschützte Pipeline-Variablen vorbereiten.
3. Schwellenwerte für hohe, mittlere und niedrige Findings fachlich begründen und konfigurieren.
4. Erfolgreichen Lauf, erwartete Blockierung und technischen Ausfall gezielt testen.
5. Ausnahme, Ablaufdatum, erneute Prüfung und entwicklergerechte Rückmeldung dokumentieren.

Modul 10: Ausnahmen, Monitoring und Betriebsübergabe

Modulziel: Abläufe gegen Fehler absichern und in einen geregelten Betrieb überführen.

1. Erfolg, fachlichen Fehler und technischen Fehler mit eindeutigen Zuständen definieren.
2. Eingaben, Vorbedingungen, Zeitlimits und Abbruchregeln vor der Ausführung prüfen.
3. Fehler gezielt simulieren und die Diagnose anhand von Zeitstempel und Laufkennung durchführen.
4. Wiederanlauf nur nach Zustandsprüfung und ohne unkontrollierte Doppelverarbeitung ausführen.
5. Runbook, Eigentümerschaft, Eskalation und regelmäßige Kontrollpunkte dokumentieren.

Praxisübungen

1. Den Themenbereich „DevSecOps-Zielbild und Datenmodell“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Einen priorisierten Umsetzungsschritt mit Eigentümer und Abnahmekriterien bestimmen.“ abnehmen.
2. Den Themenbereich „CLI und Report-Automation“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Doppelten Upload, fehlende Datei, Parserfehler und Wiederanlauf getrennt behandeln.“ abnehmen.
3. Den Themenbereich „Container, IaC und Cloud“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Exposition, Produktionsbezug, Ausnahmen und erneute Prüfung in die Priorisierung aufnehmen.“ abnehmen.
4. Den Themenbereich „Ausnahmen, Monitoring und Betriebsübergabe“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Runbook, Eigentümerschaft, Eskalation und regelmäßige Kontrollpunkte dokumentieren.“ abnehmen.
5. Einen absichtlich erzeugten Fehler anhand von Zeitstempel, Laufkennung, Dienstzustand und Protokollen eingrenzen.
6. Eine kompakte Kontrollliste mit Sollzustand, Eigentümer, Wiederholungsintervall und Eskalationsweg erstellen.

Voraussetzungen

Praktische CI/CD-Erfahrung, Kommandozeile, HTTP, JSON und Grundlagen zu SAST, SCA, Container- und DAST-Prüfungen