Seminar OWASP secureCodeBox – Intensivseminar Security Scanning und Integrationen

Das Intensivformat fasst die fachlichen Scan- und Integrationsdisziplinen in einem durchgängigen Programm zusammen. Netzwerk, Web, API, Repository, Secrets, Container, SBOM und Kubernetes werden mit Scope, Kaskaden, Findings, Hooks und externen Systemen verbunden.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Eine risikobasierte Scanstrategie für unterschiedliche Assetklassen entwickeln
• Netzwerk-, Web-, API-, Repository-, Container-, SBOM- und Kubernetes-Scanner kombinieren
• Cascading Scans, Zeitpläne und AutoDiscovery kontrolliert automatisieren
• Findings normalisieren, triagieren, korrelieren und als Quality Gate nutzen
• Berichte, Benachrichtigungen und externe Findingsysteme zuverlässig integrieren

Zielgruppe

Security Engineers, DevSecOps, Product Security, SOC, Schwachstellenmanagement, Penetrationstest-nahe Teams, Plattformteams und technische Consultants.

Voraussetzungen

Grundkenntnisse von Netzwerken, Webanwendungen, APIs, Git, Containern und Kubernetes sowie erste Erfahrung mit technischen Sicherheitsscannern.

Seminarinhalte

1. Schritt 1: Asset- und Risikomodell erstellen

   Ziele, Eigentümer, Exponierung, Schutzbedarf, Datenarten, erlaubte Prüfmethoden und Behebungswege werden als Grundlage der Scanstrategie erfasst.

2. Schritt 2: Scannerprofile und Intensität definieren

   Passive, aktive, authentifizierte und potenziell störende Prüfungen erhalten sichere Standardwerte, Freigaben, Zeitfenster und Ausschlüsse.

3. Schritt 3: Netzwerkziele entdecken

   Subfinder und Nmap werden für DNS-, Host-, Port- und Dienstinventarisierung mit begrenztem Scope und nachvollziehbaren Parametern eingesetzt.

4. Schritt 4: Dienste vertiefend prüfen

   SSLyze, SSH-audit, WhatWeb, Screenshooter und weitere passende Scanner werden aus Discovery-Ergebnissen gezielt nachgelagert.

5. Schritt 5: Kaskadierende Netzwerkscans aufbauen

   CascadingRules überführen Hosts, Ports, URLs oder Dienste in Folgescans. Bedingungen, Zielkonvertierung, Grenzen und Schleifenschutz werden getestet.

6. Schritt 6: Weboberflächen erfassen

   WhatWeb, Nikto, ffuf und Screenshooter werden für Technologieerkennung, Fehlkonfigurationen, Inhalte und visuelle Inventarisierung kombiniert.

7. Schritt 7: Nuclei regelbasiert einsetzen

   Template-Auswahl, Tags, Severity, Ausschlüsse, Aktualisierung, Rate Limits und sichere Profilbildung werden für Web- und Netzwerkziele konfiguriert.

8. Schritt 8: ZAP Automation Framework aufbauen

   Context, Include- und Exclude-Regeln, Spider, API-Import, Authentifizierung, passive und aktive Regeln sowie Berichtsausgabe werden in einem Scanplan verbunden.

9. Schritt 9: API-Scans vorbereiten

   OpenAPI-Dokumente, Endpunkte, Basis-URLs, Tokens, Header, Testdaten, Zustandsänderungen und Datenbereinigung werden für reproduzierbare Prüfungen definiert.

10. Schritt 10: Repository und Secrets prüfen

    Git Repo Scanner, Gitleaks und Semgrep untersuchen Quellbestand, Historie und Code mit Baselines, Ausschlüssen und stabilen Fundorten.

11. Schritt 11: Images und SBOMs prüfen

    Trivy und Trivy SBOM erfassen Schwachstellen und Komponenten per Digest. Fix-Status, Artefaktidentität und Übergabe an Komponentenmanagement werden festgelegt.

12. Schritt 12: Kubernetes-Risiken prüfen

    Kube Hunter und containerbezogene AutoDiscovery ergänzen die Lieferkettenprüfungen um laufende Cluster- und Workload-Sicht.

13. Schritt 13: Zeitpläne und AutoDiscovery kombinieren

    Statische Assets, Services und Images werden mit passenden Intervallen, Labels, Annotationen, Scopes und Ressourcenlimits automatisiert geprüft.

14. Schritt 14: Finding-Qualität normalisieren

    Severity, Kategorie, Fundort, Identität, Fingerprint, Assetbezug und sensible Inhalte werden scannerübergreifend geprüft und vereinheitlicht.

15. Schritt 15: Findings triagieren und korrelieren

    Dubletten, Baselines, False Positives, akzeptierte Risiken, wiederkehrende Befunde und Beziehungen zwischen Commit, Image, Service und URL werden verarbeitet.

16. Schritt 16: Quality Gates und Fristen definieren

    Pipeline-Abbruch, Warnung, Ticket, Eskalation und Wiederprüfung werden nach Scannerklasse, Assetkritikalität, Neuheit und Fix-Verfügbarkeit gestaffelt.

17. Schritt 17: Hook-Kette konfigurieren

    Finding Post Processing, Update Field, statischer Report, Benachrichtigung und Export werden in einer kontrollierten Reihenfolge ausgeführt.

18. Schritt 18: Externe Systeme anbinden

    DefectDojo, Dependency-Track, Elasticsearch, Azure Monitor und Generic WebHooks werden mit Mapping, Idempotenz, Secrets und Fehlerbehandlung integriert.

19. Schritt 19: Scanbetrieb beobachten

    Erfolgsquote, Laufzeit, Scannerfehler, Finding-Trend, Aktualität, Ressourcenverbrauch und Integrationsfehler werden in ein Kennzahlenset überführt.

20. Schritt 20: Gesamtszenario abnehmen

    Ein freigegebenes Asset wird von Discovery über vertiefende Scans und Finding-Triage bis zum externen Nachweis vollständig verarbeitet.

Praxisübungen

• Eine Asset- und Scanner-Matrix mit sicheren Intensitätsprofilen erstellen
• Netzwerk-Discovery mit kaskadierenden Dienstscans aufbauen
• Web- und API-Scans mit Nuclei und ZAP Automation Framework konfigurieren
• Repository-, Secret-, Image- und SBOM-Prüfungen kombinieren
• Findings normalisieren, deduplizieren und als Quality Gate bewerten
• Eine Hook-Kette mit Bericht, Benachrichtigung und Export einrichten
• Ein externes Findingsystem mit Wiederholung und Fehlerpfad anbinden
• Einen vollständigen scannerübergreifenden Abnahmelauf durchführen

Methodik

Fünf Tage folgen einem realistischen Asset vom Inventar bis zur Behebung. Scanner werden in sichere Profile, Kaskaden und Zeitpläne eingebettet; Findings und Integrationen werden durchgehend mit Test- und Fehlerfällen geprüft.