Seminar OWASP secureCodeBox – Grundlagen, Installation und erste Scans

Der Einstieg verbindet eine saubere Kubernetes-Grundlage mit einer nachvollziehbaren Installation und mehreren kontrollierten Scanläufen. Dabei werden nicht nur Befehle ausgeführt, sondern Ressourcen, Status, Rohresultate und Findings an jedem Schritt geprüft.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Voraussetzungen und Zielarchitektur für eine Lern- oder Pilotumgebung bestimmen
• Operator und Basiskomponenten mit Helm reproduzierbar installieren
• Scanner bereitstellen und erste Scan-, ScheduledScan- und scbctl-Abläufe durchführen
• Jobs, Logs, Rohresultate und normalisierte Findings auswerten
• Häufige Installations- und Scanfehler selbstständig diagnostizieren

Zielgruppe

Kubernetes-Administratoren, DevOps, DevSecOps, Security Engineers, technische Consultants und Plattformteams ohne oder mit geringer secureCodeBox-Erfahrung.

Voraussetzungen

Grundlegende Kubernetes- und Helm-Kenntnisse, Zugriff auf einen Übungscluster, kubectl, YAML-Grundlagen und allgemeines Verständnis technischer Sicherheitsprüfungen.

Seminarinhalte

1. Schritt 1: Labor und Voraussetzungen prüfen

   Clusterzugriff, Kubernetes-Ressourcen, Storage, DNS, Netzwerk, Helm, kubectl und erforderliche Rechte werden mit einer Checkliste verifiziert.

2. Schritt 2: Zielnamespace und Betriebsgrenzen festlegen

   Namespace, Quoten, ServiceAccounts, Netzfreigaben, erlaubte Ziele und Aufbewahrung werden für die Übungsumgebung definiert.

3. Schritt 3: Operator mit Helm installieren

   Repository-Paket, Version, Werte, CRDs, Deployment und Controllerstatus werden installiert und anschließend mit Kubernetes-Mitteln kontrolliert.

4. Schritt 4: Ergebnisspeicherung einrichten

   Die Schnellstartablage wird von einer produktionsgeeigneten externen S3-kompatiblen Ablage abgegrenzt. Zugang, Bucket und Testzugriff werden geprüft.

5. Schritt 5: Einen Scanner bereitstellen

   ScanType und ParseDefinition eines geeigneten Scanners werden installiert. Images, Ressourcen, Parameter und Status werden verifiziert.

6. Schritt 6: Ersten Scan definieren

   apiVersion, kind, Metadaten, scanType, Parameter, Ziel und Labels werden in einem kleinen Manifest aufgebaut und vor Anwendung validiert.

7. Schritt 7: Scanlauf beobachten

   Scanstatus, erzeugter Job, Pod, Events, Logs und Laufzeit werden verfolgt. Abbruch, Zeitüberschreitung und Scanner-Exit-Code werden eingeordnet.

8. Schritt 8: Rohresultate und Findings auswerten

   Ablage, Parserlauf, Finding-Liste, Schweregrad, Fundort, Attribute und Abschlusszustand werden miteinander abgeglichen.

9. Schritt 9: Parameter und Secrets verwenden

   Scanneroptionen, ConfigMaps, Secrets, Authentifizierung und minimale Berechtigungen werden an einem kontrollierten Beispiel ergänzt.

10. Schritt 10: Zeitgesteuerten Scan erstellen

    Aus dem funktionierenden Einzel-Scan wird ein ScheduledScan mit nachvollziehbarem Intervall, Historie und Ressourcenbegrenzung abgeleitet.

11. Schritt 11: scbctl für Standardaufgaben einsetzen

    Installation prüfen, Ressourcen anzeigen, Scans anstoßen oder untersuchen und Diagnoseinformationen sammeln werden als wiederholbarer Arbeitsablauf geübt.

12. Schritt 12: Fehler und Bereinigung beherrschen

    Fehlender ScanType, ungültige Parameter, Image-Pull-Fehler, Rechteprobleme, fehlende Resultate und Parserfehler werden diagnostiziert; Testressourcen werden kontrolliert entfernt.

Praxisübungen

• Cluster- und Installationsvoraussetzungen mit einer Prüfliste abnehmen
• Operator und einen Scanner per Helm installieren
• Einen Scan vom Manifest bis zum Finding durchführen
• Scannerparameter und ein Secret sicher einbinden
• Einen ScheduledScan und einen scbctl-Diagnoseablauf erstellen
• Mehrere typische Installations- und Laufzeitfehler beheben

Methodik

Schrittweise Installation mit unmittelbarer Kontrolle jeder Ressource. Demonstrationen, Einzelübungen und Diagnoseaufgaben führen von einer leeren Umgebung zu wiederholbaren manuellen und geplanten Scans.