Das Intensivseminar verbindet die Fachthemen Risikobewertung, Secure Development Lifecycle, SBOM und IoT- beziehungsweise Embedded-Sicherheit. Eine gemeinsame Beispielarchitektur aus Anwendung und emuliertem Gateway begleitet sämtliche Arbeitsschritte. Aus Sicherheitsanforderungen entstehen Änderungen an Code und Konfiguration, automatisierte Prüfungen und nachvollziehbare Releasebelege.
Fünf Tage ermöglichen einen durchgängigen technischen Arbeitsablauf mit ausgewählten Kernübungen. Die Umgebung ist vollständig vorbereitet; Installation, Programmiergrundlagen und herstellerspezifische Hardwareintegration werden vorausgesetzt beziehungsweise ausgeklammert. Die spezialisierten Fachseminare erweitern diesen Pfad um weitere Varianten, tiefere Analysen und zusätzliche Fehlerfälle.
Inhaltsübersicht
- Produktarchitektur und Sicherheitsziele
- Threat Modeling und Risikobewertung
- Sichere Architektur und Codeänderungen
- Pipeline und automatisierte Prüfungen
- Komponentenbestand und SBOM
- Schwachstellenbewertung und VEX
- Geräteidentität und Schnittstellen
- Firmware und sichere Aktualisierung
- Systemprüfung und Nachweissammlung
- Releaseentscheidung und Änderungsfall
Produktarchitektur und Sicherheitsziele
Anwendung, Gateway und zugehörige Datenflüsse werden als gemeinsames Produktmodell beschrieben. Nutzungskontext und Vertrauensgrenzen bestimmen die wichtigsten Sicherheitsziele. Die erste Arbeitsakte enthält eindeutige Produktversionen, technische Annahmen und die relevanten Schnittstellen für sämtliche folgenden Übungen.
Threat Modeling und Risikobewertung
Die wichtigsten Bedrohungsszenarien werden systematisch entwickelt, bewertet und priorisiert. Ausgewählte Risiken werden in Sicherheitsanforderungen und Akzeptanzkriterien übersetzt. Eine Nachweismatrix verbindet jede bearbeitete Bedrohung mit der geplanten technischen Verbesserung und dem vorgesehenen Test.
Sichere Architektur und Codeänderungen
Berechtigungen, Eingabeprüfung und sichere Voreinstellungen werden an der vorbereiteten Anwendung verbessert. Ein Code-Review prüft Ursache, Umsetzung und mögliche Seiteneffekte. Die Übungen fokussieren wenige fachlich zusammenhängende Änderungen, die später in der Pipeline und im Systemtest erneut geprüft werden.
Pipeline und automatisierte Prüfungen
Statische Analysen, Abhängigkeitsprüfungen und gezielte Regressionstests werden im vorbereiteten Build ausgeführt. Befunde werden eingeordnet und mit Produktanforderungen verbunden. Das Team definiert transparente Freigabekriterien und archiviert Testberichte zusammen mit Quellstand und Artefakt.
Komponentenbestand und SBOM
Für Anwendung und Geräteimage wird eine versionsbezogene Komponentenübersicht erstellt. Die SBOM wird auf Identität, Version und Abhängigkeitsbeziehungen geprüft. Fehlende oder widersprüchliche Einträge werden mit den Builddaten abgeglichen und in einer nachvollziehbaren Qualitätsprüfung bearbeitet.
Schwachstellenbewertung und VEX
Eine vorbereitete Komponentenmeldung wird auf den konkreten Produktstand angewendet. Betroffenheit, technische Voraussetzungen und Maßnahmen werden dokumentiert. Eine strukturierte Aussage zur Ausnutzbarkeit wird an Belege gebunden und mit einem definierten Anlass für erneute Prüfung versehen.
Geräteidentität und Schnittstellen
Im emulierten Gateway werden Erstkonfiguration, Rechte und sichere Kommunikation untersucht. Unnötige Schnittstellen und problematische Voreinstellungen werden korrigiert. Positive und negative Tests prüfen, ob gültige Gegenstellen funktionieren und unberechtigte Zugriffe zuverlässig zurückgewiesen werden.
Firmware und sichere Aktualisierung
Ein vorbereiteter Firmwareablauf verbindet signierte Pakete, Versionsprüfung und Wiederherstellung. Manipulation und Installationsabbruch werden als Fehlerfälle bearbeitet. Die Auswirkungen auf Verfügbarkeit, Betriebsfähigkeit und Produktsicherheit werden mit den zuvor erfassten Risiken abgeglichen.
Systemprüfung und Nachweissammlung
Die wichtigsten Produktanforderungen werden in einem zusammenhängenden Testdurchlauf geprüft. Konfiguration, Komponentenstand und Testergebnisse werden dem Release eindeutig zugeordnet. Offene Befunde erhalten eine fachliche Bewertung und einen konkreten Bearbeitungsauftrag für die Produktverantwortlichen.
Releaseentscheidung und Änderungsfall
Die technische Nachweissammlung wird auf Vollständigkeit und Widerspruchsfreiheit geprüft. Das Team bereitet eine Releaseentscheidung vor. Eine zusätzliche Änderung verlangt anschließend die Auswahl der betroffenen Risiken und Tests, sodass die Fortschreibung des sicheren Entwicklungsprozesses praktisch nachvollzogen wird.
Praxisworkshop
- Für Anwendung und Gateway ein Produktmodell sowie priorisierte Bedrohungen erstellen.
- Ausgewählte Sicherheitsmängel in Code und Gerätekonfiguration bearbeiten und automatisiert testen.
- Eine SBOM erzeugen, prüfen und eine Komponentenschwachstelle auf den Produktstand beziehen.
- Gerätekommunikation und Firmwareupdate einschließlich Fehlerfällen untersuchen.
- Die technischen Nachweise zu einer Releaseentscheidung zusammenführen und nach einer Änderung aktualisieren.
Schulungsumgebung
Die Laborumgebung umfasst eine vorbereitete Linux-VM, Git, Container-Laufzeit, Beispielpipeline, Anwendung, Gatewayemulator und Testzertifikate. Alle Fallstände und Sicherheitsmeldungen sind vor Beginn eingefroren und verfügbar.
Zusammengefasste Fachseminare
Fachbereichsleiter / Leiter der Trainer / Ihre Ansprechpartner
-
Lucas Beich
Telefon: + 49 (221) 74740055
E-Mail: lucas.beich@seminar-experts.de -
Paul Goldschmidt
Telefon: + 49 (221) 74740055
E-Mail: paul.goldschmidt@seminar-experts.de
Seminardetails
| Dauer: | 5 Tage ca. 6 h/Tag, Beginn 1. Tag: 10:00 Uhr, weitere Tage 09:00 Uhr |
|---|---|
| Preis: |
Öffentlich oder Live Stream: € 2.995 zzgl. MwSt. Inhaus: € 8.500 zzgl. MwSt. |
| Teilnehmeranzahl: | min. 2 - max. 8 |
| Teilnehmer: | Erfahrene Software- und Embedded-Entwicklung, DevSecOps, Product Security, Systemarchitektur und technische Qualitätssicherung. |
| Voraussetzungen: | CRA-Grundlagen, praktische Programmiererfahrung, Git, Linux, HTTP und Containerkenntnisse. Einfache Netzwerk- und TLS-Konfigurationen müssen verstanden werden; der Kurs ist kein Einstieg in Softwareentwicklung. |
| Standorte: | Stream Live, Inhaus/Firmenseminar, Berlin, Bremen, Darmstadt, Dresden, Erfurt, Essen, Flensburg, Frankfurt, Freiburg, Friedrichshafen, Hamburg, Hamm, Hannover, Jena, Kassel, Köln, Konstanz, Leipzig, Luxemburg, Magdeburg, Mainz, München, Münster, Nürnberg, Paderborn, Potsdam, Regensburg, Rostock, Stuttgart, Trier, Ulm, Wuppertal, Würzburg |
| Methoden: | Fachvortrag, Demonstrationen, angeleitete Praxis, Fallbearbeitung und Review |
| Seminararten: | Öffentlich, Webinar, Inhaus, Workshop - Alle Seminare mit Trainer vor Ort, Webinar nur wenn ausdrücklich gewünscht |
| Durchführungsgarantie: | ja, ab 2 Teilnehmern |
| Sprache: | Deutsch - bei Firmenseminaren ist auch Englisch möglich |
| Seminarunterlage: | Dokumentation auf Datenträger oder als Download |
| Teilnahmezertifikat: | ja, selbstverständlich |
| Verpflegung: | Kalt- / Warmgetränke, Mittagessen (wahlweise vegetarisch) |
| Support: | 3 Anrufe im Seminarpreis enthalten |
| Barrierefreier Zugang: | an den meisten Standorten verfügbar |
| Weitere Informationen unter + 49 (221) 74740055 |
Seminartermine
Die Ergebnissliste kann durch Anklicken der Überschrift neu sortiert werden.
