Seminar MobSF Intensivseminar: Plattformbetrieb, Automatisierung und DevSecOps

Seminarprofil

Der fünftägige Intensivpfad fasst Installation, Betrieb, Härtung, API-Automatisierung, asynchrone Scans, mobsfscan, CI/CD, Skalierung und Troubleshooting zusammen. Vom persistenten Container über Compose, PostgreSQL, Worker, Reverse Proxy und SSO bis zum mehrstufigen Pipeline-Gate entsteht eine vollständige Referenzplattform. Die Themen werden verdichtet, aber an einer gemeinsam aufgebauten Umgebung durchgängig praktisch umgesetzt.

Inhaltsübersicht

• Architektur und Plattformaufbau
• Compose, Persistenz und Updates
• Härtung, Rollen und SSO
• REST API und Scanlebenszyklus
• Asynchrone Scans und Skalierung
• mobsfscan und CI/CD
• Überwachung und Troubleshooting
• Referenzbetrieb

Lernziele

• eine produktionsnahe MobSF-Plattform installieren, härten und betreiben
• REST API, asynchrone Worker und Scanlebenszyklus robust automatisieren
• mobsfscan und MobSF in abgestufte mobile CI/CD-Kontrollen integrieren
• Leistung, Fehler und Updates anhand von Messdaten und Runbooks beherrschen

Seminarinhalte

Modul 1: Architektur und Plattformaufbau

1. Schritt 1: Anwendung, Datenbank, Worker, Proxy, Speicher und Analysegeräte modellieren.
2. Schritt 2: Ressourcen, Netze, Verzeichnisse und Schutzbedarf dimensionieren.
3. Schritt 3: Persistenten Einzelcontainer als Funktionsbasis aufbauen.
4. Schritt 4: Compose-Zielarchitektur mit PostgreSQL und Worker planen.

Modul 2: Compose, Persistenz und Updates

1. Schritt 1: Volumes, interne Netze, Healthchecks und Dienstabhängigkeiten konfigurieren.
2. Schritt 2: Datenbank und gemeinsame Analyseablage anbinden.
3. Schritt 3: Update, Migration und Funktionstest kontrolliert durchführen.
4. Schritt 4: Backup, Restore und Rückfall praktisch erproben.

Modul 3: Härtung, Rollen und SSO

1. Schritt 1: Secrets, API-Schlüssel und Dateirechte schützen.
2. Schritt 2: Reverse Proxy, erlaubte Hosts, Header und Rate Limits härten.
3. Schritt 3: Maintainer- und Viewer-Rollen definieren.
4. Schritt 4: SAML-SSO und Gruppenmapping mit Negativtests prüfen.

Modul 4: REST API und Scanlebenszyklus

1. Schritt 1: Upload, Scanstart, Status, Ergebnisse und Löschung automatisieren.
2. Schritt 2: Authentifizierung, Timeouts, Retry und Rate Limit behandeln.
3. Schritt 3: Ergebnisdaten und Berichte sicher ablegen.
4. Schritt 4: Idempotenz und Artefaktlebenszyklus testen.

Modul 5: Asynchrone Scans und Skalierung

1. Schritt 1: Queue, Worker und gemeinsame Datenablage einrichten.
2. Schritt 2: Workerzahl, Timeouts und Multiprocessing messen.
3. Schritt 3: Lastprofil mit verschiedenen Artefaktgrößen testen.
4. Schritt 4: Kapazitätsgrenzen und Skalierungsregeln dokumentieren.

Modul 6: mobsfscan und CI/CD

1. Schritt 1: Quellcode-Scan für Android und iOS konfigurieren.
2. Schritt 2: JSON-, SARIF- oder SonarQube-Ausgabe in die Pipeline übernehmen.
3. Schritt 3: Baseline, Quality Gate und Ausnahmeverfahren festlegen.
4. Schritt 4: Release-Artefakt zusätzlich über MobSF prüfen.

Modul 7: Überwachung und Troubleshooting

1. Schritt 1: Web-, Worker-, Proxy- und Datenbanklogs korrelieren.
2. Schritt 2: Upload-, Parser-, SAST-, Queue- und Gerätefehler diagnostizieren.
3. Schritt 3: Ressourcenengpässe und hängende Scans systematisch beheben.
4. Schritt 4: Betriebskennzahlen und Eskalationspaket definieren.

Modul 8: Referenzbetrieb

1. Schritt 1: Einen vollständigen Pipeline- und API-Durchlauf ausführen.
2. Schritt 2: Rollen, Härtung und Aufbewahrung gegen die Betriebsanforderungen prüfen.
3. Schritt 3: Update- und Störungsszenario nach Runbook bearbeiten.
4. Schritt 4: Architektur-, Betriebs- und Übergabedokumentation fertigstellen.

Praxisübungen

• Aufbau einer gehärteten Compose-Plattform mit Datenbank, Worker, Proxy und SSO
• Entwicklung eines robusten API-Clients und einer mobilen CI/CD-Kontrolle
• Last-, Update- und Störungstest mit Betriebsrunbook

Zielgruppe

Plattformarchitekten, Administratoren, DevSecOps Engineers, Security Tooling Teams und technische Betriebsverantwortliche.

Vorkenntnisse

Sichere Linux-, Docker-, Compose-, Netzwerk- und CI/CD-Kenntnisse. Programmier- oder Skripterfahrung sowie Grundkenntnisse zu Identitätsdiensten sind erforderlich.