Seminar Intruder – Vulnerability Management für DevSecOps und CI/CD

DevSecOps benötigt schnelle Rückmeldungen, darf jedoch Release-Entscheidungen nicht auf unklare oder instabile Signale stützen. Das Seminar verbindet Plattformdaten, API-Workflows und Entwicklungsprozesse zu nachvollziehbaren Prüf- und Freigaberegeln.

Die Übungen behandeln Umgebungszuordnung, automatisierte Auslöser, Risiko-Gates, Ticket-Deduplizierung, Secrets, Fehlerszenarien und Retests. Ziel ist ein Workflow, der Entwicklung unterstützt und gleichzeitig belastbare Sicherheitsentscheidungen ermöglicht.

Inhaltsübersicht

1. DevSecOps-Zielbild und Umgebungsmodell
2. Automatisierte Auslöser und API-Workflow
3. Risiko-Gates und Entscheidungsregeln
4. Tickets, Feedback und Entwicklerkontext
5. Retest, Metriken und Pipeline-Betrieb
6. Praxis und Übungen
7. Arbeitsweise
8. Vorkenntnisse und Zielgruppe

Zielsetzung

Vulnerability-Daten können sicher in Entwicklungs- und Release-Prozesse integriert werden. Risiko-Gates, Tickets und Retests sind reproduzierbar, fehlertolerant und für Entwicklung, Security und Betrieb transparent.

Schrittweise Seminarinhalte

1. DevSecOps-Zielbild und Umgebungsmodell

Schwerpunkt: Repositories, Anwendungen, APIs, Umgebungen, Releases, Assets, Eigentümer und Verantwortungsgrenzen.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „DevSecOps-Zielbild und Umgebungsmodell“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Repositories, Anwendungen, APIs, Umgebungen, Releases, Assets, Eigentümer und Verantwortungsgrenzen strukturiert modellieren.
3. Entwicklungsobjekte eindeutig mit Plattformassets und Verantwortlichen verknüpfen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Vollständige Zuordnung und keine Vermischung von Test und Produktion mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine versionierte Asset-zu-Release-Matrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Automatisierte Auslöser und API-Workflow

Schwerpunkt: Deployment, Zeitplan, Asset-Änderung, Scanstart, Statusabfrage, Ergebnisabruf und Wiederholung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Automatisierte Auslöser und API-Workflow“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Deployment, Zeitplan, Asset-Änderung, Scanstart, Statusabfrage, Ergebnisabruf und Wiederholung strukturiert modellieren.
3. Einen Pipeline-Workflow für kontrollierte Prüfungen implementieren und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Idempotenz, Timeouts, Rate Limits und sichere Wiederanläufe mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis einen getesteten Scan-Orchestrierungsablauf dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Risiko-Gates und Entscheidungsregeln

Schwerpunkt: Schweregrad, Exposition, bestätigte Befunde, Ausnahmen, Altbefunde, Zeitfenster und manuelle Freigabe.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Risiko-Gates und Entscheidungsregeln“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Schweregrad, Exposition, bestätigte Befunde, Ausnahmen, Altbefunde, Zeitfenster und manuelle Freigabe strukturiert modellieren.
3. Transparente Gate-Regeln mit klaren Fail-Open- und Fail-Closed-Fällen definieren und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Stabile, nachvollziehbare Release-Entscheidungen mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine freigegebene Security-Gate-Policy dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Tickets, Feedback und Entwicklerkontext

Schwerpunkt: Deduplizierung, technische Evidenz, Eigentümer, Akzeptanzkriterien, Statusrückmeldung und Pull-Request-Kommunikation.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Tickets, Feedback und Entwicklerkontext“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Deduplizierung, technische Evidenz, Eigentümer, Akzeptanzkriterien, Statusrückmeldung und Pull-Request-Kommunikation strukturiert modellieren.
3. Befunde automatisch in entwicklungsnahe Aufgaben überführen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Keine Ticketflut und vollständiger Rückkanal mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis einen integrierten Remediation-Workflow dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Retest, Metriken und Pipeline-Betrieb

Schwerpunkt: Korrekturprüfung, Regression, Durchlaufzeit, Fehlerquote, Gate-Treffer, Ausnahmebestand, Logs und Alarmierung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Retest, Metriken und Pipeline-Betrieb“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Korrekturprüfung, Regression, Durchlaufzeit, Fehlerquote, Gate-Treffer, Ausnahmebestand, Logs und Alarmierung strukturiert modellieren.
3. Retests und Betriebsmetriken in den Workflow integrieren und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Verlässlicher Betrieb und messbare Sicherheitswirkung mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis ein DevSecOps-Betriebsdashboard-Konzept dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxis und Übungen

1. Assets, Repositories, Umgebungen und Verantwortliche in einer Zuordnungsmatrix modellieren.
2. Einen API-basierten Scan- und Statusworkflow mit kontrollierten Wiederanläufen umsetzen.
3. Risiko-Gates für verschiedene Release-Szenarien definieren und testen.
4. Ticketing, Retest und Betriebsmetriken in einen durchgängigen Pipeline-Prozess integrieren.

Arbeitsweise

Fachliche Einordnung, Demonstrationen und angeleitete Laborphasen wechseln sich ab. Jede Übung folgt dem Schema Vorbereitung, kontrollierte Durchführung, technische Prüfung, Dokumentation und betriebliche Standardisierung. Produktive Ziele werden nur innerhalb eines schriftlich freigegebenen Scopes und mit abgestimmten Schutzmaßnahmen geprüft.

Vorkenntnisse und Zielgruppe

Zielgruppe: DevSecOps, Platform Engineering, CI/CD-Verantwortliche, Application Security, Entwicklung, Qualitätssicherung, Release Management und Security Automation.

Vorkenntnisse: Grundkenntnisse zu CI/CD, REST-APIs, Skripting, Git-basierten Workflows, Web- oder API-Entwicklung und Schwachstellenmanagement.