Seminar OWASP DefectDojo – API, Automatisierung und Integrationen

Robuste Automatisierung über die REST-API

Das Seminar vermittelt den systematischen Aufbau wartbarer Automatisierungen für Inventarisierung, Objektpflege, Scanimport, Reporting und die Anbindung betrieblicher Drittsysteme.

Neben erfolgreichen API-Aufrufen stehen Idempotenz, sichere Wiederholung, Berechtigungsgrenzen, Fehlerklassifikation, Vertragstests und produktiver Betrieb im Vordergrund.

Inhaltsverzeichnis

1. API-Grundlagen und Authentisierung
2. Inventarisierung und Abfragen
3. Objekt- und Lifecycle-Workflows
4. Import und Reimport über die API
5. Idempotenz und Wiederholung
6. Ticketing und Drittsysteme
7. API-Sicherheit
8. Tests und produktiver Betrieb

Lernziele

• API-Ressourcen, Authentisierung, Filter und Seitennavigation sicher anwenden.
• Objekte und Finding-Lebenszyklen idempotent automatisieren.
• Import und Reimport mit stabiler Zielzuordnung und Qualitätskontrolle umsetzen.
• Ticketing-, Benachrichtigungs- und Reporting-Integrationen entwerfen.
• API-Clients testen, überwachen, versionieren und störungsfest betreiben.

Seminarinhalte

1. API-Grundlagen und Authentisierung

Schwerpunkt: REST-Ressourcen, Filter, Pagination, Serialisierung, Token und Fehlerklassen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „API-Grundlagen und Authentisierung“ erfassen. Dabei folgende Aspekte berücksichtigen: REST-Ressourcen, Filter, Pagination, Serialisierung, Token und Fehlerklassen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Geprüfte API-Basiskonfiguration erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Inventarisierung und Abfragen

Schwerpunkt: Product Types, Products, Engagements, Tests, Findings, Tags und Statusfilter.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Inventarisierung und Abfragen“ erfassen. Dabei folgende Aspekte berücksichtigen: Product Types, Products, Engagements, Tests, Findings, Tags und Statusfilter.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Wiederverwendbares Inventarisierungsmodul erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Objekt- und Lifecycle-Workflows

Schwerpunkt: Anlage und Aktualisierung von Produkten, Engagements, Tests, Findings, Status und Metadaten.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Objekt- und Lifecycle-Workflows“ erfassen. Dabei folgende Aspekte berücksichtigen: Anlage und Aktualisierung von Produkten, Engagements, Tests, Findings, Status und Metadaten.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Idempotenter Objektworkflow erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Import und Reimport über die API

Schwerpunkt: Scanartefakt, Parser, Zielprodukt, Engagement, Test, Mindestschweregrad und Folgeimport.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Import und Reimport über die API“ erfassen. Dabei folgende Aspekte berücksichtigen: Scanartefakt, Parser, Zielprodukt, Engagement, Test, Mindestschweregrad und Folgeimport.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Robuste Uploadstrecke für Scanserien erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Idempotenz und Wiederholung

Schwerpunkt: Timeout, Teilerfolg, Retry, Backoff, natürliche Schlüssel, Sperren und Korrelation.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Idempotenz und Wiederholung“ erfassen. Dabei folgende Aspekte berücksichtigen: Timeout, Teilerfolg, Retry, Backoff, natürliche Schlüssel, Sperren und Korrelation.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Fehler- und Wiederholungsmuster für API-Clients erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Ticketing und Drittsysteme

Schwerpunkt: Aufgabenverwaltung, Benachrichtigung, CMDB, Servicekatalog, Reporting und editionsabhängige Konnektoren.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Ticketing und Drittsysteme“ erfassen. Dabei folgende Aspekte berücksichtigen: Aufgabenverwaltung, Benachrichtigung, CMDB, Servicekatalog, Reporting und editionsabhängige Konnektoren.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Integrationsvertrag mit Mapping und Triggern erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. API-Sicherheit

Schwerpunkt: minimale Rechte, Tokenrotation, Quellnetze, Protokollierung, Eingabevalidierung und Lastgrenzen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „API-Sicherheit“ erfassen. Dabei folgende Aspekte berücksichtigen: minimale Rechte, Tokenrotation, Quellnetze, Protokollierung, Eingabevalidierung und Lastgrenzen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Sicherheitsprofil für Automatisierungen erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

8. Tests und produktiver Betrieb

Schwerpunkt: Vertragstests, Testdaten, Versionsänderungen, Logging, Metriken, Deployment und Rollback.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Tests und produktiver Betrieb“ erfassen. Dabei folgende Aspekte berücksichtigen: Vertragstests, Testdaten, Versionsänderungen, Logging, Metriken, Deployment und Rollback.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Test- und Betriebspaket für API-Clients erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: DevSecOps Engineers, API-Entwickler, Integrationsarchitekten, Plattformautomatisierung, AppSec Engineering und technische Projektleitung.

Voraussetzungen: DefectDojo-Grundkenntnisse, sichere Kenntnisse in HTTP und JSON sowie praktische Erfahrung mit mindestens einer Skript- oder Programmiersprache.

Didaktik und Arbeitsweise

Fachvortrag, API-Demonstrationen, schrittweise Laborübungen, Fehlerfalltests, Code-Review und Betriebsübergabe. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.