Seminar OWASP DefectDojo – Skalierung, Performance und große Datenmengen

Wachstum messbar planen und Engpässe kontrolliert beseitigen

Das Seminar entwickelt aus Benutzerzahl, Finding-Bestand, Importfrequenz, Artefaktgröße und API-Nutzung ein belastbares Last- und Kapazitätsmodell.

Worker, Queue, Datenbank, Speicher, Aufbewahrung, Importspitzen, Monitoring und Lasttests werden in einem messbaren Tuningzyklus optimiert.

Inhaltsverzeichnis

1. Lastprofil und Kapazitätsmodell
2. Worker, Queue und Parallelität
3. Datenbankperformance
4. Aufbewahrung und Speicherwachstum
5. Importspitzen
6. Kapazitätsmonitoring
7. Lasttest und Tuning

Lernziele

• Ein realistisches Lastprofil und Wachstumsmodell für die eigene Nutzung erstellen.
• Worker, Queue und Parallelität anhand von Durchsatz und Rückstau dimensionieren.
• Datenbank, Speicher und Aufbewahrung auf wachsende Datenmengen ausrichten.
• Importspitzen und konkurrierende Last mit Priorisierung und Drosselung beherrschen.
• Kapazität überwachen und Performance mit reproduzierbaren Lasttests verbessern.

Seminarinhalte

1. Lastprofil und Kapazitätsmodell

Schwerpunkt: Benutzer, Produkte, Tests, Findings, Importgröße, Frequenz, Berichte, API und Wachstum.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Lastprofil und Kapazitätsmodell“ erfassen. Dabei folgende Aspekte berücksichtigen: Benutzer, Produkte, Tests, Findings, Importgröße, Frequenz, Berichte, API und Wachstum.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Last- und Kapazitätsprofil erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Worker, Queue und Parallelität

Schwerpunkt: Taskarten, Workerzahl, Nebenläufigkeit, Rückstau, CPU, Speicher, Timeouts und Priorisierung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Worker, Queue und Parallelität“ erfassen. Dabei folgende Aspekte berücksichtigen: Taskarten, Workerzahl, Nebenläufigkeit, Rückstau, CPU, Speicher, Timeouts und Priorisierung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Worker- und Queue-Dimensionierung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Datenbankperformance

Schwerpunkt: Verbindungen, Langläufer, Indizes, Statistiken, Wartung, Berichtslast und wachsender Bestand.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Datenbankperformance“ erfassen. Dabei folgende Aspekte berücksichtigen: Verbindungen, Langläufer, Indizes, Statistiken, Wartung, Berichtslast und wachsender Bestand.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Datenbank-Performance-Konzept erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Aufbewahrung und Speicherwachstum

Schwerpunkt: Scanartefakte, Berichte, Logs, historische Tests, geschlossene Findings und Backups.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Aufbewahrung und Speicherwachstum“ erfassen. Dabei folgende Aspekte berücksichtigen: Scanartefakte, Berichte, Logs, historische Tests, geschlossene Findings und Backups.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Aufbewahrungs- und Speicherkonzept erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Importspitzen

Schwerpunkt: parallele Pipelines, große Artefakte, Berichte, API-Abfragen, Wartungsjobs und begrenzte Ressourcen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Importspitzen“ erfassen. Dabei folgende Aspekte berücksichtigen: parallele Pipelines, große Artefakte, Berichte, API-Abfragen, Wartungsjobs und begrenzte Ressourcen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Spitzenlast- und Drosselungskonzept erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Kapazitätsmonitoring

Schwerpunkt: CPU, Speicher, Queue, Datenbank, Dateisystem, Finding-Wachstum, Durchsatz und Datenalter.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Kapazitätsmonitoring“ erfassen. Dabei folgende Aspekte berücksichtigen: CPU, Speicher, Queue, Datenbank, Dateisystem, Finding-Wachstum, Durchsatz und Datenalter.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Kapazitätsdashboard erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Lasttest und Tuning

Schwerpunkt: Ramp-up, konstante Last, Spike, Antwortzeit, Durchsatz, Fehler, Ressourcen und Rückrollbarkeit.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Lasttest und Tuning“ erfassen. Dabei folgende Aspekte berücksichtigen: Ramp-up, konstante Last, Spike, Antwortzeit, Durchsatz, Fehler, Ressourcen und Rückrollbarkeit.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Performance-Baseline mit Tuningzyklen erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Plattformbetrieb, SRE und DevOps, Datenbankadministration, Performance Engineering, AppSec-Plattformverantwortliche und technische Architektur.

Voraussetzungen: Praktische Erfahrung mit einer DefectDojo-Installation sowie Grundkenntnisse in Monitoring, Containerressourcen, Datenbanken und Lasttests.

Didaktik und Arbeitsweise

Fachvortrag, Kapazitätsmodellierung, Messlabor, Queue- und Datenbankanalyse, Spitzenlastsimulation, Lasttest und Tuningvergleich. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.