Seminar OWASP Dependency-Track Intensivseminar Komplettpaket

Inhaltsübersicht

• Grundlagen, Zielbild und SBOM-Prozess
• Installation, Administration und Betrieb
• CI/CD, API und Automatisierung
• Vulnerability Management, Triage, VEX und Policy Compliance
• Enterprise-Betrieb, Governance und Einführungsplanung

Seminarziel

Das Intensivseminar fasst die Inhalte der Einzel- und Vertiefungsseminare in einem zusammenhängenden Lehrgang zusammen. Ziel ist ein belastbares Gesamtverständnis vom ersten SBOM-Import bis zum geregelten Enterprise-Betrieb.

Zielgruppe

Geeignet für Projektteams, die Dependency-Track kompakt, aber vollständig einführen, betreiben und in DevSecOps- sowie Governance-Prozesse integrieren wollen.

Voraussetzungen

Erforderlich sind allgemeine IT-Erfahrung, Grundwissen zu Softwareentwicklung und Sicherheitsprozessen. Vertiefte Vorkenntnisse in Dependency-Track sind nicht erforderlich.

Seminarinhalte

1. Grundlagen und Zielbild aufbauen

1. SBOM, Component Analysis und Software-Supply-Chain-Risiken einordnen
2. Projekt-, Komponenten- und Finding-Modell verstehen
3. Rollen für Entwicklung, Security, Betrieb und Management definieren
4. Pilotumfang und Erfolgskriterien festlegen

2. Installation und Administration durchführen

1. Bereitstellungsmodell und Ressourcen planen
2. Basisinstallation mit API-Server, Frontend und Datenbank nachvollziehen
3. Benutzer, Teams, Rechte und API-Schlüssel einrichten
4. Datenquellen, Konfiguration und Betriebsprüfungen behandeln

3. SBOM und CI/CD integrieren

1. SBOM-Erzeugung nach Technologie-Stack planen
2. BOM-Upload in Pipelines automatisieren
3. Projekt- und Versionsmodell sauber umsetzen
4. Quality Gates und Rückmeldungen an Entwicklungsteams gestalten

4. API und Automatisierung nutzen

1. API-Zugriffe sicher vorbereiten
2. Projekte, BOMs und Findings automatisiert bearbeiten
3. Auswertungen für Tickets und Reporting erstellen
4. Fehlerbehandlung, Retry-Logik und Geheimnisverwaltung berücksichtigen

5. Schwachstellen und Policies steuern

1. Findings triagieren und Analysezustände verwenden
2. Risiko nach Kritikalität, Kontext und Ausnutzbarkeit bewerten
3. Lizenz-, Sicherheits- und Betriebsrichtlinien definieren
4. Ausnahmen dokumentieren und zeitlich begrenzen

6. VEX, VDR und Governance einordnen

1. VEX zur Reduzierung irrelevanter Findings einsetzen
2. Disclosure- und Nachweisprozesse mit VDR einordnen
3. Lieferanten- und Einkaufsprozesse mit SBOM-Anforderungen verbinden
4. Management- und Compliance-Sichten ableiten

7. Enterprise-Betrieb planen

1. Skalierung, Hochverfügbarkeit und Datenbankbetrieb betrachten
2. Monitoring, Backup und Wiederherstellung strukturieren
3. Namenskonventionen und Mandantenmodell festlegen
4. Einführungsroadmap und Runbooks erstellen

Praktische Übungen

• Aufbau einer durchgängigen Beispielstrecke vom Projekt bis zur Auswertung
• SBOM-Erzeugung und automatisierter Upload
• Triage kritischer Findings mit Policy- und Ausnahmebezug
• Entwurf eines Betriebs- und Governance-Modells für eine Organisation

Praxisnutzen

Die maximale Dauer von fünf Tagen wird ausgeschöpft, weil alle anderen Seminarthemen verdichtet zusammengeführt werden. Eine längere Dauer wäre fachlich komfortabler, ist hier aber bewusst auf fünf Tage begrenzt.