Seminar OWASP DefectDojo – Installation und produktive Bereitstellung

Vom Zielbild zur abgenommenen Produktionsumgebung

Das Installationsseminar führt von Anforderungen und Topologie über containerbasierte Bereitstellung bis zu Datenbank, Worker, Reverse Proxy, TLS, Secrets, Persistenz und Härtung.

Eine technische Abnahme mit repräsentativem Scanimport, Backup und Störungsszenario bildet den Abschluss der praktischen Laborstrecke.

Inhaltsverzeichnis

1. Anforderungen und Zieltopologie
2. Containerbasierte Bereitstellung
3. Datenbank, Cache und Worker
4. Reverse Proxy und TLS
5. Konfiguration und Geheimnisse
6. Persistenz und Backup
7. Härtung
8. Abnahme und Betriebsübergabe

Lernziele

• Last-, Verfügbarkeits-, Sicherheits- und Betriebsanforderungen in eine Zieltopologie überführen.
• Eine reproduzierbare containerbasierte DefectDojo-Umgebung bereitstellen.
• Datenbank, Cache, Worker, Scheduler, Proxy und TLS korrekt integrieren.
• Konfiguration, Geheimnisse, Persistenz und Backup produktionsgerecht organisieren.
• Härtung, Funktionsprüfung und Betriebsübergabe anhand definierter Kriterien abnehmen.

Seminarinhalte

1. Anforderungen und Zieltopologie

Schwerpunkt: Benutzer, Finding-Volumen, Importfrequenz, Verfügbarkeit, Datenbank, Speicher, Netzwerk und Backup.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Anforderungen und Zieltopologie“ erfassen. Dabei folgende Aspekte berücksichtigen: Benutzer, Finding-Volumen, Importfrequenz, Verfügbarkeit, Datenbank, Speicher, Netzwerk und Backup.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Installations- und Topologieplanung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Containerbasierte Bereitstellung

Schwerpunkt: Images, Compose-Dienste, Netzwerke, Volumes, Umgebungsparameter, Startreihenfolge und Health Checks.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Containerbasierte Bereitstellung“ erfassen. Dabei folgende Aspekte berücksichtigen: Images, Compose-Dienste, Netzwerke, Volumes, Umgebungsparameter, Startreihenfolge und Health Checks.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Reproduzierbare Deployment-Konfiguration erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Datenbank, Cache und Worker

Schwerpunkt: relationale Datenbank, Cache, Task-Queue, Worker, Scheduler, Verbindungen und Migrationen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Datenbank, Cache und Worker“ erfassen. Dabei folgende Aspekte berücksichtigen: relationale Datenbank, Cache, Task-Queue, Worker, Scheduler, Verbindungen und Migrationen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Geprüfte Daten- und Worker-Konfiguration erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Reverse Proxy und TLS

Schwerpunkt: Hostname, Zertifikate, Weiterleitungsheader, Uploadgrößen, Timeouts und Netzwerkfreigaben.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Reverse Proxy und TLS“ erfassen. Dabei folgende Aspekte berücksichtigen: Hostname, Zertifikate, Weiterleitungsheader, Uploadgrößen, Timeouts und Netzwerkfreigaben.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Abgenommene Proxy- und TLS-Konfiguration erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Konfiguration und Geheimnisse

Schwerpunkt: Anwendungsschlüssel, Datenbankzugänge, Mail, Integrationen, sichere Defaults und Secret Store.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Konfiguration und Geheimnisse“ erfassen. Dabei folgende Aspekte berücksichtigen: Anwendungsschlüssel, Datenbankzugänge, Mail, Integrationen, sichere Defaults und Secret Store.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Konfigurations- und Secret-Verfahren erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Persistenz und Backup

Schwerpunkt: Datenbank, Scanartefakte, Berichte, Konfiguration, Schlüssel, Aufbewahrung und Verschlüsselung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Persistenz und Backup“ erfassen. Dabei folgende Aspekte berücksichtigen: Datenbank, Scanartefakte, Berichte, Konfiguration, Schlüssel, Aufbewahrung und Verschlüsselung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Backup- und Restore-Runbook erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Härtung

Schwerpunkt: Standardkonten, Debug-Funktionen, Schlüssel, Header, Netzwerk, Dateirechte, Protokollierung und Patchstand.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Härtung“ erfassen. Dabei folgende Aspekte berücksichtigen: Standardkonten, Debug-Funktionen, Schlüssel, Header, Netzwerk, Dateirechte, Protokollierung und Patchstand.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Härtungsbaseline mit Abweichungsregister erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

8. Abnahme und Betriebsübergabe

Schwerpunkt: Funktionsprüfung, Import, Benutzerzugriff, Backup, Monitoring, Support, Dokumentation und Wartungsfenster.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Abnahme und Betriebsübergabe“ erfassen. Dabei folgende Aspekte berücksichtigen: Funktionsprüfung, Import, Benutzerzugriff, Backup, Monitoring, Support, Dokumentation und Wartungsfenster.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Technisches Abnahme- und Übergabepaket erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Linux- und Plattformadministration, DevOps, System Engineering, Datenbankbetrieb, Security Engineering und technische Projektleitung.

Voraussetzungen: Sichere Linux- und Container-Grundkenntnisse, Verständnis von DNS, TLS, Reverse Proxy, Datenbank und Backup; DefectDojo-Grundkenntnisse sind hilfreich.

Didaktik und Arbeitsweise

Fachvortrag, Architekturplanung, Installation am Laborsystem, Konfigurationsübungen, Härtungstests, Backup und technische Abnahme. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.