Seminar OWASP secureCodeBox – Einführung und Einsatzplanung

Die Plattform bündelt unterschiedliche Sicherheitswerkzeuge in wiederholbaren Kubernetes-Prozessen. Der Seminartag schafft ein gemeinsames Verständnis von Nutzen, Grenzen, Rollen, Scannerklassen, Findings und Einführungsaufwand und liefert eine belastbare Entscheidungsgrundlage.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Einsatzgebiet, Nutzen und Grenzen der Plattform realistisch bewerten
• Kernarchitektur und Scanlebenszyklus auf Management- und Projektebene verstehen
• Scanner, Zielklassen, Automatisierung und Integrationen grob einordnen
• Rollen, Voraussetzungen, Risiken und Betriebsaufwand bestimmen
• Eine priorisierte Einführungs- und Pilotierungsplanung erstellen

Zielgruppe

IT-Leitung, Security Management, Plattformverantwortliche, DevSecOps-Leitung, Projektleitung, Enterprise Architecture und technische Entscheider.

Voraussetzungen

Grundverständnis von Kubernetes, Softwarelieferprozessen und technischen Sicherheitsprüfungen. Praktische secureCodeBox-Erfahrung ist nicht erforderlich.

Seminarinhalte

1. Schritt 1: Ausgangslage und Ziele klären

   Aktuelle Scanwerkzeuge, Medienbrüche, manuelle Abläufe, Zielsysteme, Prüfpflichten und erwartete Verbesserungen werden erfasst.

2. Schritt 2: Plattformprinzip verstehen

   Modulare Scanner, Kubernetes-Operator, Custom Resources, Jobs, Parser, Findings, Hooks und Ergebnisspeicherung werden auf Überblicksebene eingeordnet.

3. Schritt 3: Scannerlandschaft strukturieren

   Netzwerk-, Web-, API-, Repository-, Secret-, Container-, SBOM- und Kubernetes-Prüfungen werden nach Ziel, Tiefe und Betriebsrisiko geordnet.

4. Schritt 4: Einen Beispielscan verfolgen

   Ein Scan wird vom Manifest über Job und Parser bis zum Finding und zur Weitergabe demonstriert. Kontrollpunkte und Fehlerzustände werden benannt.

5. Schritt 5: Automatisierungsoptionen bewerten

   ScheduledScans, AutoDiscovery, Cascading Scans, CI/CD und GitOps werden nach Reifegrad, Nutzen und erforderlicher Governance verglichen.

6. Schritt 6: Integrationen und Ergebniswege planen

   Bericht, Benachrichtigung, Findingsystem, Suchplattform und Komponentenmanagement werden mit Datenverantwortung und Rückmeldeweg verbunden.

7. Schritt 7: Betriebs- und Sicherheitsanforderungen bestimmen

   Cluster, Namespaces, Storage, Rechte, Secrets, Netzfreigaben, Ressourcen, Aktualisierung und Support werden als Mindestvoraussetzungen erfasst.

8. Schritt 8: Pilot und Roadmap entwerfen

   Ein begrenzter Scope, geeignete Scanner, Erfolgskriterien, Rollen, Zeitplan, Abnahmepunkte und Ausbauphasen werden zu einem Pilotsteckbrief zusammengeführt.

Praxisübungen

• Ist-Werkzeuglandschaft und Zielbilder in einer Bewertungsmatrix erfassen
• Scannerklassen geeigneten Assets und Verantwortlichen zuordnen
• Einen Beispielscan und seine Ergebniswege auf einem Prozessbild markieren
• Pilotumfang, Erfolgskriterien und Rollen für eine Einführungsphase festlegen

Methodik

Kompakter Überblick, Live-Demonstration, Entscheidungsraster und moderierte Planungsübungen. Technische Details werden nur soweit vertieft, wie sie für Architektur-, Budget- und Projektentscheidungen erforderlich sind.