IT Security Camp - Das Intenstivtraining mit Christian Schneider

Die Teilnehmer:innen erlernen in drei Tagen nach dem Basiswerkzeug, tiefere offensive Fähigkeiten sowie defensive Techniken zur Automation von Security-Checks in CI/CD Pipelines. Das Programm besteht aus vier komplexen Teilen, in welchen das Ziel verfolgt wird, die Sicherheit eigener Projekte nachhaltig zu erhöhen. Einleitend werden die Web-Security Schwachstellen anhand der Trainingsanwendung präsentiert. Die Teilnehmenden betrachten die Ursachen der Lücken sowie deren Ausnutzungsrisiken und Formen der Absicherung. Im nächsten Schritt wird die Nutzung offensiverer Techniken erlernt, um tiefer in Systeme einzudringen (Post-Exploitation) und Rückkanäle sinnvoll aufzubauen. Der dritte Themenbereich befasst sich mit den Schwachstellen-Scans. Die Teilnehmer:innen untersuchen dabei teil-automatisiert die Außen- und Innensicht einer Anwendung: Beginnend mit der dynamischen Analyse zur Laufzeit (DAST) und darüberhinausgehend werden hierzu Methoden zur statischen Code-Analyse eingesetzt (unter Nutzung von OpenSource-Werkzeugen), um tiefere Abdeckung zu erzielen. Abschließend wird im vierten Teil des Camps die Frage verfolgt, wie man die Security-Scans soweit vollautomatisch laufen lassen kann, dass diese in Jenkins Build-Pipelines integriert werden. Es werden unter anderem Maßnahmen aufgezeigt, wie die teil-manuelle Analyse vollautomatisiert stattfinden kann (DevSecOps).