Seminar OWASP DefectDojo – Sicherheitshärtung, SSO und Zugriffsschutz

Plattform, Identitäten und Schnittstellen ganzheitlich absichern

Das Sicherheitsseminar beginnt mit Schutzbedarf und Bedrohungsmodell und führt über Netzwerk, TLS, Secrets, Cookies, Authentifizierung und editionsabhängiges SSO bis zu Least Privilege, API-Sicherheit und Auditierung.

Alle Kontrollen werden mit Positiv- und Negativfällen geprüft, damit eine Härtungsbaseline nicht nur dokumentiert, sondern technisch nachweisbar ist.

Inhaltsverzeichnis

1. Bedrohungsmodell und Schutzbedarf
2. Netzwerk, Reverse Proxy und TLS
3. Secrets, Cookies und Header
4. Authentifizierung und SSO
5. Produktzugriff und Rollen
6. Least Privilege
7. API-Sicherheit
8. Audit und Härtungstest

Lernziele

• Schutzobjekte, Vertrauensgrenzen und relevante Missbrauchsfälle modellieren.
• Netzwerkzugang, Reverse Proxy, TLS, Secrets, Cookies und Header sicher konfigurieren.
• Lokale Anmeldung und editionsabhängige SSO-Szenarien mit Fallback planen und testen.
• Least Privilege für Administration, Triage, Import, API und Reporting durchsetzen.
• Auditierung, API-Sicherheit und technische Härtungsprüfung systematisch abnehmen.

Seminarinhalte

1. Bedrohungsmodell und Schutzbedarf

Schwerpunkt: sensible Findings, Scanartefakte, Zugangsdaten, API-Tokens, Integrationen und administrative Funktionen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Bedrohungsmodell und Schutzbedarf“ erfassen. Dabei folgende Aspekte berücksichtigen: sensible Findings, Scanartefakte, Zugangsdaten, API-Tokens, Integrationen und administrative Funktionen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Priorisiertes Bedrohungsmodell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Netzwerk, Reverse Proxy und TLS

Schwerpunkt: Segmentierung, Zertifikate, Weiterleitungsheader, erlaubte Absendernetze und administrative Zugangsnetze.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Netzwerk, Reverse Proxy und TLS“ erfassen. Dabei folgende Aspekte berücksichtigen: Segmentierung, Zertifikate, Weiterleitungsheader, erlaubte Absendernetze und administrative Zugangsnetze.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Geprüfte Netzwerk- und TLS-Konfiguration erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Secrets, Cookies und Header

Schwerpunkt: Anwendungsschlüssel, Datenbankzugänge, API-Tokens, Cookie-Eigenschaften, CSRF und Browser-Sicherheitsheader.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Secrets, Cookies und Header“ erfassen. Dabei folgende Aspekte berücksichtigen: Anwendungsschlüssel, Datenbankzugänge, API-Tokens, Cookie-Eigenschaften, CSRF und Browser-Sicherheitsheader.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Härtungsstandard für Websitzungen erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Authentifizierung und SSO

Schwerpunkt: lokale Konten, Identitätsprovider, editionsabhängige SSO-Funktionen, Attributmapping, Gruppenbindung und Fallback.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Authentifizierung und SSO“ erfassen. Dabei folgende Aspekte berücksichtigen: lokale Konten, Identitätsprovider, editionsabhängige SSO-Funktionen, Attributmapping, Gruppenbindung und Fallback.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Authentifizierungs- und Fallback-Konzept erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Produktzugriff und Rollen

Schwerpunkt: produktbezogene Autorisierung, Staff, Superuser, Gruppen, globale Rechte und minimale Sichtbarkeit.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Produktzugriff und Rollen“ erfassen. Dabei folgende Aspekte berücksichtigen: produktbezogene Autorisierung, Staff, Superuser, Gruppen, globale Rechte und minimale Sichtbarkeit.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Berechtigungsmodell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Least Privilege

Schwerpunkt: Administration, Produktpflege, Triage, Import, Reporting, Integration und Datenbankbetrieb.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Least Privilege“ erfassen. Dabei folgende Aspekte berücksichtigen: Administration, Produktpflege, Triage, Import, Reporting, Integration und Datenbankbetrieb.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Funktionstrennungsmatrix erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. API-Sicherheit

Schwerpunkt: Tokenumfang, Quellnetze, Lastgrenzen, Eingabevalidierung, Protokollierung und Rotation.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „API-Sicherheit“ erfassen. Dabei folgende Aspekte berücksichtigen: Tokenumfang, Quellnetze, Lastgrenzen, Eingabevalidierung, Protokollierung und Rotation.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. API-Sicherheitsprofil erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

8. Audit und Härtungstest

Schwerpunkt: Anmeldung, Berechtigungsänderung, Import, Finding-Änderung, Risikoakzeptanz und kontrollierte Fehlkonfiguration.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Audit und Härtungstest“ erfassen. Dabei folgende Aspekte berücksichtigen: Anmeldung, Berechtigungsänderung, Import, Finding-Änderung, Risikoakzeptanz und kontrollierte Fehlkonfiguration.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Audit- und Prüfplan erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Engineering, Plattformadministration, IAM, DevSecOps, DefectDojo-Administration, interne Revision und technische Serviceverantwortung.

Voraussetzungen: DefectDojo- und Linux-Grundkenntnisse sowie Verständnis von TLS, Reverse Proxy, Benutzerverwaltung und API-Authentisierung.

Didaktik und Arbeitsweise

Fachvortrag, Bedrohungsmodellierung, Konfigurationslabor, SSO-Planung, Negativtests, Auditprüfung und Härtungsabnahme. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.