Seminar Probely Intensivseminar – Automation, Integrationen und Enterprise-Betrieb

Der Intensivpfad verdichtet die betriebliche und automatisierte Seite des gesamten Schulungsprogramms in eine zusammenhängende Arbeitswoche. Statt isolierter Produktfunktionen entsteht ein vollständiges Zielbild vom Rollenmodell über interne Scaninfrastruktur und Pipelines bis zu Ticketing, Kennzahlen und auditierbarem Regelbetrieb.

Inhaltsübersicht

• Nutzen und Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Einordnung im Lernpfad

Nutzen und Lernziele

• Probely als verwaltbaren Enterprise-Service mit klaren Rollen und Standards betreiben
• Externe und interne Assets kontrolliert in den Scanbetrieb übernehmen
• API, CLI und CI/CD für reproduzierbare Abläufe einsetzen
• Ticketing, Benachrichtigung und SAST-DAST-Korrelation integrieren
• Findings-SLAs, Ausnahmen, Reporting und Auditnachweise zusammenführen
• Ein vollständiges Betriebs- und Automatisierungskonzept praktisch umsetzen

Zielgruppe

AppSec-Plattformteams, DevSecOps-Leads, Probely-Administratoren, Security-Architekten, Tooling-Teams, technische Programmleiter und Enterprise-Betrieb

Voraussetzungen

Gute Kenntnisse in Web- und API-Grundlagen, Benutzer- und Berechtigungsverwaltung, CI/CD und Skripting. Benötigt werden ein administrativer Testzugang, ein Testziel, eine nichtproduktive Pipeline sowie vorbereitete Integrationssysteme.

Seminarinhalte

Modul 1: Enterprise-Zielbild und Servicekatalog

1. Geschäftsziele, Anwendungsportfolio und Schutzbedarfsstufen erfassen
2. Leistungen für Onboarding, Scans, Triage, Beratung und Reporting definieren
3. Rollen zwischen zentralem Team, Produktteams, Betrieb und Management verteilen
4. Mindeststandards, Ausnahmen und Eskalationswege schriftlich festlegen
5. Erfolgskriterien für den späteren Regelbetrieb bestimmen

Modul 2: Administration, Rollen und Single Sign-on

1. Organisationen, Teams und Eigentumsbereiche modellieren
2. Benutzerdefinierte Rollen nach Minimalprinzip aufbauen
3. SAML-SSO und Zwei-Faktor-Authentifizierung in einer Testumgebung vorbereiten
4. Notfallzugang und Kontowiederherstellung mit Vier-Augen-Prinzip testen
5. Audit-Logs für administrative Änderungen auswerten

Modul 3: Asset Discovery und standardisiertes Onboarding

1. Domains und freigegebene Discovery-Quellen festlegen
2. Funde nach Umgebung, Eigentümer und Kritikalität klassifizieren
3. Dubletten, Fremdassets und verwaiste Systeme bearbeiten
4. Onboarding mit Verifikation, Scope, Profil und Erstscan standardisieren
5. Bearbeitungsfristen und Bestandskennzahlen einführen

Modul 4: Interne Ziele und Scanning Agents

1. Netzpfad, DNS, TLS und ausgehende Verbindungen für den Agenten prüfen
2. Agent in einer isolierten, nichtproduktiven Umgebung bereitstellen
3. Interne Ziele eindeutig dem vorgesehenen Agenten zuordnen
4. Erreichbarkeit, Authentifizierung und Scanwirkung mit kleinem Scope testen
5. Monitoring, Upgrade, Hochverfügbarkeit und Rückbau planen

Modul 5: API- und CLI-Automatisierung

1. Technische Konten und Token mit minimalem Umfang einrichten
2. Ziele idempotent anlegen oder aktualisieren
3. Scans mit Korrelationskennung auslösen und asynchron überwachen
4. Findings vollständig abrufen, normalisieren und filtern
5. Rate Limits, Wiederholungen, Logs und Exit-Codes robust behandeln

Modul 6: CI/CD und Security Gates

1. Scanzeitpunkt und Zielzuordnung für stabile und kurzlebige Umgebungen definieren
2. Secrets sicher in der Pipeline bereitstellen
3. Schnelle und umfassende Prüfungen als getrennte Pipelinepfade aufbauen
4. Schwellwerte zunächst beobachtend und später kontrolliert blockierend einführen
5. Artefakte, Timeout und Fehlerbetrieb dokumentieren

Modul 7: Ticketing und Benachrichtigung

1. Jira, Azure Boards oder ServiceNow als führendes Arbeitssystem festlegen
2. Feldmapping, Routing und Dublettenschlüssel definieren
3. Technisches Konto und Testprojekt mit minimalen Rechten konfigurieren
4. Slack-Benachrichtigungen auf handlungsrelevante Ereignisse begrenzen
5. Fehlgeschlagene Übertragungen überwachen und geordnet wiederholen

Modul 8: SAST-DAST-Korrelation mit Snyk Code

1. Ziel, Repository, Branch und Deploymentversion sauber zuordnen
2. Dynamischen Laufzeitnachweis mit vorgeschlagenem Codepfad vergleichen
3. Korrelation bestätigen oder mit dokumentierter Begründung verwerfen
4. Entwicklerauftrag mit Endpoint, Evidenz und Codekontext erstellen
5. Korrektur statisch und anschließend dynamisch erneut prüfen

Modul 9: Governance, Findings-SLAs und Reporting

1. Scanrichtlinien und Profilklassen nach Kritikalität definieren
2. SLA für Triage, Behebung und Retest festlegen
3. Risikoakzeptanz und Ausnahme mit Eigentümer und Ablaufdatum regeln
4. Operative und strategische Kennzahlen aus belastbaren Bezugsgrößen ableiten
5. Auditpaket aus Freigaben, Scans, Findings und Ausnahmen zusammenstellen

Modul 10: Abschlussprojekt für den Regelbetrieb

1. Eine Beispielanwendung vollständig inventarisieren und einem Team zuordnen
2. Internes oder externes Ziel mit Profil, Scope und Authentifizierung bereitstellen
3. Pipeline oder Betriebsjob für den Scan aufbauen
4. Finding in ein Folgesystem übergeben und bis zum Retest bearbeiten
5. Betriebshandbuch, Kennzahlen und Verbesserungsplan präsentieren

Praxisübungen

• Entwurf eines Enterprise-Rollen- und Governance-Modells
• Onboarding eines entdeckten oder internen Testassets
• Automatisierter Ziel- und Scan-Lebenszyklus über API oder CLI
• Integration eines Scans in eine Pipeline mit beobachtendem Security Gate
• Übergabe eines Findings an Ticketing und Slack ohne Dubletten
• Validierung einer SAST-DAST-Korrelation
• Erstellung eines vollständigen Betriebs- und Auditpakets

Einordnung im Lernpfad

Komprimierter vollständiger Pfad für Plattform-, DevSecOps- und Enterprise-Betrieb. Zusammen mit dem Intensivseminar für Web- und API-Sicherheitstests deckt dieser Kurs die Themen der gesamten Seminarreihe ab.