Seminar OWASP secureCodeBox – AutoDiscovery und zeitgesteuerte Scans

Automatisierung wird erst dann beherrschbar, wenn neue Ziele zuverlässig erkannt, passende Scanprofile erzeugt und veraltete Ressourcen kontrolliert entfernt werden. Das Seminar verbindet AutoDiscovery, ScheduledScans, Selektoren und ScanTemplates zu einem nachvollziehbaren Regelwerk.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Service- und Container-AutoDiscovery fachgerecht konfigurieren
• ScheduledScans mit stabilen Zeitplänen und wiederverwendbaren Templates erstellen
• Labels, Annotationen und Selektoren als kontrollierbare Steuerung einsetzen
• Scopes, Ausschlüsse, Secrets und Ressourcenlimits in automatische Scans integrieren
• Fehler, doppelte Ziele und verwaiste Scanressourcen systematisch beheben

Zielgruppe

Plattformteams, Kubernetes-Administratoren, DevSecOps, Cloud Engineers, Security Operations und technische Anwendungsbetreuung.

Voraussetzungen

Praktische Kubernetes-Kenntnisse, YAML, Deployments, Services, Pods, Labels und Namespaces sowie grundlegende Erfahrung mit secureCodeBox-Scans.

Seminarinhalte

1. Schritt 1: Automatisierungsziele festlegen

   Assets, Erkennungsquellen, gewünschte Scanner, Scanfrequenzen, Verantwortlichkeiten und erlaubte Intensität werden vor der technischen Konfiguration definiert.

2. Schritt 2: ScheduledScans aufbauen

   Cron-Ausdruck, ScanTemplate, Historie, Parallelität, Wiederholung und Aufbewahrung werden so konfiguriert, dass Zeitpläne nachvollziehbar und konfliktarm bleiben.

3. Schritt 3: Service-AutoDiscovery konfigurieren

   Kubernetes-Services werden anhand von Namespace, Labels, Ports und Annotationen ausgewählt. Zieladressen und Scanparameter werden aus Ressourceneigenschaften abgeleitet.

4. Schritt 4: Container-AutoDiscovery konfigurieren

   Container-Images werden aus Workloads ermittelt und passenden Image- oder SBOM-Scans zugeordnet. Tags, Digests und Pull-Berechtigungen werden berücksichtigt.

5. Schritt 5: Regeln mit Labels und Annotationen steuern

   Opt-in, Opt-out, Scannerwahl, Intervall, Zielparameter und Ausnahmen werden als dokumentierte Konvention für Anwendungsteams gestaltet.

6. Schritt 6: Templates und Parameter wiederverwenden

   ScanSpec, Umgebungsvariablen, Volumes, Ressourcenlimits, ServiceAccounts und tolerierte Zieltypen werden in wartbaren Vorlagen gebündelt.

7. Schritt 7: Secrets und private Registries einbinden

   Image-Pull-Secrets, Authentifizierungsdaten und scannerbezogene Geheimnisse werden mit minimalen Berechtigungen und klarer Zuständigkeit bereitgestellt.

8. Schritt 8: Scopes und Ausschlüsse absichern

   Namespaces, Ressourcenarten, Ports, Zielmuster und sensible Systeme werden durch Selektoren und Richtlinien begrenzt. Unbeabsichtigte Scans werden verhindert.

9. Schritt 9: Lebenszyklus automatisch erzeugter Scans prüfen

   Erstellung, Aktualisierung und Löschung erzeugter ScheduledScans werden bei Änderungen oder Entfernen der Ursprungsressource verfolgt.

10. Schritt 10: Skalierung und Fehleranalyse durchführen

    Controller-Protokolle, Events, erzeugte Ressourcen, Zeitplanüberschneidungen, Quoten und API-Last werden geprüft. Daraus entsteht ein betriebsfähiges Regel- und Diagnosehandbuch.

Praxisübungen

• Einen wiederkehrenden Scan mit kontrollierter Parallelität erstellen
• Service-AutoDiscovery für ausgewählte Namespaces und Ports konfigurieren
• Container-AutoDiscovery für Images aus einem Beispiel-Deployment einrichten
• Opt-in- und Opt-out-Regeln mit Labels und Annotationen testen
• Eine fehlerhafte oder verwaiste AutoDiscovery-Ressource diagnostizieren

Methodik

Kurze Architekturblöcke werden unmittelbar in Kubernetes-Manifeste übertragen. Übungen vergleichen manuell gepflegte Zeitpläne mit AutoDiscovery und führen anschließend in Skalierungs- und Fehlerfälle.