Workshops
mit den
Teams

Use Case 3:

• DefectDojo als Tracker-Referenz
  CTR linked to DD

Use Case 1:

• DefectDojo als Proxy für Scan-Results
  DD -> CTR

Use Case 2:

• SecRadar aka CTR zur Anreicherung (Confidence, Team, BK, KID, ...)
  CTR -> DD

Use Case 3:

• DefectDojo als Tracker-Referenz
  CTR linked to DD

Use Case 1:

• DefectDojo als Proxy für Scan-Results
  DD -> CTR
   
• Vorteile:
  • ART-Übergrefeindes Datenquellen-Management
  • Scannerübergreifend einheitliche Strukturen (tbp)
  • Synergien beim Parser bauen
  • ART-Übergreifende KID wird gefördert
     
• Nachteile:
  • SAFe Konfigurationsstrukturen müssen implementiert werden
  • für NeXt: Mapping muss neu gemacht werden​​​​​​​

Use Case 2:

• SecRadar aka CTR zur Anreicherung (Confidence, Team, BK, KID, ...)
  CTR -> DD

Use Case 3:

• DefectDojo als Tracker-Referenz
  CTR linked to DD

Use Case 1:

• DefectDojo als Proxy für Scan-Results
  DD -> CTR

Use Case 2:

• SecRadar aka CTR zur Anreicherung (Confidence, Team, BK, KID, ...)
  CTR -> DD

Use Case 3:

• DefectDojo als Tracker-Referenz
  CTR linked to DD

Use Case 1:

• DefectDojo als Proxy für Scan-Results
  DD -> CTR

Use Case 2:

• SecRadar aka CTR zur Anreicherung (Confidence, Team, BK, KID, ...)
  CTR -> DD
   
• Vorteile:
  • Wertschöpfung der CTR Klassifizierungsmatrix
  • Projektspezische KM Know-How fließt in Bewertung mit ein
  • Schnellere Fokusierung auf die wirklich wichtigen Issues
     
• Nachteile:
  • Metadaten (Key-Value) gibts nicht in GUI nur via API
  • Tags nur ein Value, keine Sortierung, Filterung schwierig
  • Description oder Notes ähnliches Problem wie Tag

Use Case 3:

• DefectDojo als Tracker-Referenz
  CTR linked to DD

Use Case 1:

• DefectDojo als Proxy für Scan-Results
  DD -> CTR

Use Case 2:

• SecRadar aka CTR zur Anreicherung (Confidence, Team, BK, KID, ...)
  CTR -> DD

Use Case 3:

• DefectDojo als Tracker-Referenz
  CTR linked to DD
• Done!

Use Case 1:

• DefectDojo als Proxy für Scan-Results
  DD -> CTR

Use Case 2:

• SecRadar aka CTR zur Anreicherung (Confidence, Team, BK, KID, ...)
  CTR -> DD

PoC / MvP:

• Tracker-Link eingebaut
• CTR -> DD per CURL durchgeführt
• DD -> CTR Mapping vorbereitet

Links:

• Wiki
• Temp. Instance
• Finding 110

Kosteneinsparung durch Automatisierung:
 

• Autom. Erstanalyse Issues
• Autom. Erstanalyse Findings
• Autom. ETL-Prozesse
• Autom. Drainings (4 Wochen Kaskade)
• Zusammenfassung von Teams & Scanner

Klassifizierungsmatrix

A-B-C-D Ranking:

Four Last Things ...

Four Last Things ...

Zutaten Technik:

• Python in Docker
• AWS Lambda
• AWS DynamoDB (NoSQL)
• Groovy
  • Jenkins Pipelines für CI/CD
  • Weekly Retension / Scans
    > Besser in Camunda
• Web
  • Plain Vanilla HTML
  • TabulatorJS
  • VueJS (Details & SolvingUX)
• Timeseries in Elastic- / Opensearch

Four Last Things ...

Four Last Things ...

Four Last Things ...

Fachliche BI Zutaten:
 

Asset-Katalog minimal Attribut-Set

• ID (max 9 Zeichen)
• Titel, Beschreibung, Zweck
• Basis-Krit
• ECR-Pfad / Gitlab-Pfad
• Team

Security-Channels:

• Welche sollen wie verwendet werden?
• Welche werden bereits verwendet?

Four Last Things ...

Four Last Things ...

Ein paar Dinge noch vorab:
 

• Mandantenfähigkeit
  • Entität Tenant
  • einzelne Refactorings
  • vTenant als "Vertical"
• Feature-Toggle Matrix
• neXt-Lab Abhängigkeiten  ausbauen
  • ​​​​​​​EFS-Browser Proxy
  • Eigenständige URL
  • ​​​​​​​Eigene AD-Gruppen
• Some Dashboards
• NVD Api 2.0

Four Last Things ...

Four Last Things ...

Wiki-Home SysTeam/KM/Tools:
arija-confluence.jaas.service.deutschebahn.com/
display/neXtlab/neXt+Security+Radar

SecRadar URL (VPN & AD):
ctr.konbel.comp.db.de

Gitlab Repository:

git.tech.rz.db.de/next-all/System/tools/bots/secradar

Dank (nicht nur) an:

Kamel, Lars, Lars, Guido, Tyler, Andreas, Gabriel, Tobias, Dominik, Hendrik, Matthias & alle Workshop Teilnehmer im Art neXt

Four Last Things ...