Seminar OWASP DefectDojo – Administration, Benutzer und Berechtigungen

Sichere Administration und nachvollziehbare Zugriffssteuerung

Das Praxisseminar behandelt die administrative Steuerung einer DefectDojo-Umgebung mit klar getrennten Benutzer-, Dienstkonto- und Verantwortungsmodellen.

Community-Funktionen und editionsabhängige Rollen- und Gruppenoptionen werden sauber abgegrenzt. Im Mittelpunkt stehen minimale Berechtigungen, produktbezogene Zugriffskontrolle, API-Importkonten, Rezertifizierung und kontrollierter Notfallzugriff.

Inhaltsverzeichnis

1. Kontenmodell und Verantwortlichkeiten
2. Produktbezogene Zugriffssteuerung
3. Rollen, Gruppen und globale Rechte
4. API- und Importberechtigungen
5. Least Privilege und Funktionstrennung
6. Rezertifizierung und Notfallzugriff
7. Audit und Berechtigungstests

Lernziele

• Benutzer-, Dienst- und Importkonten nach Zweck und Schutzbedarf strukturieren.
• Produktbezogene Berechtigungen sowie editionsabhängige Rollen- und Gruppenmodelle planen.
• Least-Privilege-Regeln für AppSec, Entwicklung, Betrieb und externe Prüfer anwenden.
• API- und Importzugänge sicher verwalten, rotieren und kontrollieren.
• Rezertifizierung, Notfallzugriff und Entzug nachvollziehbar organisieren.

Seminarinhalte

1. Kontenmodell und Verantwortlichkeiten

Schwerpunkt: interaktive Benutzer, Dienstkonten, Importkonten, Eigentümer, Namenskonventionen, Aktivierung und Stilllegung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Kontenmodell und Verantwortlichkeiten“ erfassen. Dabei folgende Aspekte berücksichtigen: interaktive Benutzer, Dienstkonten, Importkonten, Eigentümer, Namenskonventionen, Aktivierung und Stilllegung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Kontenstandard mit Anlage-, Review- und Stilllegungsregeln erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Produktbezogene Zugriffssteuerung

Schwerpunkt: Product Types, Products, autorisierte Benutzer, Staff- und Superuser-Rechte sowie minimale Sichtbarkeit.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Produktbezogene Zugriffssteuerung“ erfassen. Dabei folgende Aspekte berücksichtigen: Product Types, Products, autorisierte Benutzer, Staff- und Superuser-Rechte sowie minimale Sichtbarkeit.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Produktbezogene Berechtigungsmatrix erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Rollen, Gruppen und globale Rechte

Schwerpunkt: editionsabhängige Mitgliedschaften, Reader-, Writer-, Maintainer-, Owner- und API-Importer-Rollen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Rollen, Gruppen und globale Rechte“ erfassen. Dabei folgende Aspekte berücksichtigen: editionsabhängige Mitgliedschaften, Reader-, Writer-, Maintainer-, Owner- und API-Importer-Rollen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Revisionsfähiges Rollen- und Gruppenmodell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. API- und Importberechtigungen

Schwerpunkt: Token, Servicekonten, minimale Rechte, Secret-Ablage, Rotation und Quellbindung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „API- und Importberechtigungen“ erfassen. Dabei folgende Aspekte berücksichtigen: Token, Servicekonten, minimale Rechte, Secret-Ablage, Rotation und Quellbindung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Betriebsstandard für API- und Importkonten erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Least Privilege und Funktionstrennung

Schwerpunkt: Administration, Produktpflege, Triage, Import, Reporting, Integration und Datenbankbetrieb.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Least Privilege und Funktionstrennung“ erfassen. Dabei folgende Aspekte berücksichtigen: Administration, Produktpflege, Triage, Import, Reporting, Integration und Datenbankbetrieb.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Trennungs- und Berechtigungsmatrix erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Rezertifizierung und Notfallzugriff

Schwerpunkt: periodische Prüfung, Rollenwechsel, Austritt, privilegierte Konten und zeitlich begrenzter Break-Glass-Zugriff.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Rezertifizierung und Notfallzugriff“ erfassen. Dabei folgende Aspekte berücksichtigen: periodische Prüfung, Rollenwechsel, Austritt, privilegierte Konten und zeitlich begrenzter Break-Glass-Zugriff.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Rezertifizierungs- und Notfallverfahren erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Audit und Berechtigungstests

Schwerpunkt: Anmeldung, Änderung, Import, Berichte, unzulässige Querzugriffe und vollständiger Berechtigungsentzug.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Audit und Berechtigungstests“ erfassen. Dabei folgende Aspekte berücksichtigen: Anmeldung, Änderung, Import, Berichte, unzulässige Querzugriffe und vollständiger Berechtigungsentzug.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Auditnachweis mit Positiv- und Negativtestfällen erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: DefectDojo-Administratoren, AppSec-Verantwortliche, IAM-Teams, Plattformbetrieb, interne Revision und technische Serviceverantwortung.

Voraussetzungen: Grundkenntnisse der DefectDojo-Objekthierarchie und allgemeine Erfahrung mit Benutzer-, Rollen- oder Berechtigungsmodellen.

Didaktik und Arbeitsweise

Fachvortrag, Demonstrationen, Berechtigungsmatrix, praktische Konfigurationsübungen und Positiv-/Negativtests am System. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.