Seminar OWASP DefectDojo – Architektur und Grundlagen

Fundierte Orientierung für Plattform- und Prozessentscheidungen

Die Einführung ordnet DefectDojo als zentrale Plattform für Scan-Aggregation, Finding-Verwaltung, Remediation und AppSec-Governance ein.

Der Seminartag verbindet Komponentenarchitektur, Objekthierarchie, Datenfluss, Finding-Lebenszyklus und Editionsgrenzen zu einer belastbaren Grundlage für weitere technische oder organisatorische Vertiefungen.

Inhaltsverzeichnis

1. Zielbild und Einsatzgrenzen
2. Plattformarchitektur und Komponenten
3. Objekthierarchie und Beziehungen
4. Datenfluss vom Scan bis zur Behebung
5. Editionen und Funktionsgrenzen
6. Geführtes Anwendungsszenario

Lernziele

• Einsatzszenarien, Grenzen und Verantwortlichkeiten der Plattform einordnen.
• Komponenten und technische Datenflüsse nachvollziehen.
• Product Types, Products, Engagements, Tests und Findings sicher unterscheiden.
• Den Weg vom Scanartefakt bis zur Behebung und erneuten Verifikation erklären.
• Anforderungen an Edition, Betrieb und weiterführende Lernpfade ableiten.

Seminarinhalte

1. Zielbild und Einsatzgrenzen

Schwerpunkt: Vulnerability Management, AppSec Posture Management, Scan-Aggregation, Remediation und organisatorische Verantwortungsgrenzen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Zielbild und Einsatzgrenzen“ erfassen. Dabei folgende Aspekte berücksichtigen: Vulnerability Management, AppSec Posture Management, Scan-Aggregation, Remediation und organisatorische Verantwortungsgrenzen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Zielbild mit Scope und Nicht-Zielen erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Plattformarchitektur und Komponenten

Schwerpunkt: Webanwendung, Hintergrundverarbeitung, Datenbank, Cache, Speicher, Scanner und angebundene Dienste.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Plattformarchitektur und Komponenten“ erfassen. Dabei folgende Aspekte berücksichtigen: Webanwendung, Hintergrundverarbeitung, Datenbank, Cache, Speicher, Scanner und angebundene Dienste.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Architekturdiagramm mit Vertrauensgrenzen erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Objekthierarchie und Beziehungen

Schwerpunkt: Product Types, Products, Engagements, Tests, Findings, Endpoints und Metadaten.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Objekthierarchie und Beziehungen“ erfassen. Dabei folgende Aspekte berücksichtigen: Product Types, Products, Engagements, Tests, Findings, Endpoints und Metadaten.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Dokumentiertes Objektmodell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Datenfluss vom Scan bis zur Behebung

Schwerpunkt: Parser, Import, Deduplizierung, Triage, Tickets, Risikobehandlung, Retest und Abschluss.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Datenfluss vom Scan bis zur Behebung“ erfassen. Dabei folgende Aspekte berücksichtigen: Parser, Import, Deduplizierung, Triage, Tickets, Risikobehandlung, Retest und Abschluss.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. End-to-End-Prozessmodell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Editionen und Funktionsgrenzen

Schwerpunkt: Community-Funktionen, kommerzielle Erweiterungen, Rollen, SSO, Reporting und Integrationen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Editionen und Funktionsgrenzen“ erfassen. Dabei folgende Aspekte berücksichtigen: Community-Funktionen, kommerzielle Erweiterungen, Rollen, SSO, Reporting und Integrationen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Entscheidungsmatrix für Edition und Betriebsmodell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Geführtes Anwendungsszenario

Schwerpunkt: Anlage eines Produkts, Scanimport, Finding-Prüfung, Zuweisung, Risikobehandlung und Berichtssicht.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Geführtes Anwendungsszenario“ erfassen. Dabei folgende Aspekte berücksichtigen: Anlage eines Produkts, Scanimport, Finding-Prüfung, Zuweisung, Risikobehandlung und Berichtssicht.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Kompakt abgenommener Musterfall erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: AppSec- und DevSecOps-Teams, IT-Leitung, Softwarearchitekten, Plattformbetrieb, Security Engineering, Projektleitung und technische Entscheider.

Voraussetzungen: Allgemeines Verständnis von Softwareentwicklung, Schwachstellenmanagement und webbasierten Anwendungen; keine DefectDojo-Vorkenntnisse erforderlich.

Didaktik und Arbeitsweise

Fachvortrag, Architekturdiagramme, Live-Demonstrationen, moderierte Modellierungsübungen und ein kompakter End-to-End-Fall. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.