Seminar ArcherySec – Web Application Scanning mit OWASP ZAP und Burp

Praxisorientierter Kompetenzaufbau für die kontrollierte Orchestrierung dynamischer Webscans mit ZAP und Burp einschließlich Scope, Connectoren, Crawler-Abdeckung, Triage und Nachtest

ArcherySec verbindet technische Prüfungen, zentrale Finding-Daten, Automatisierung und geregelte Zusammenarbeit. Dieses Seminar konzentriert sich auf die kontrollierte Orchestrierung dynamischer Webscans mit ZAP und Burp einschließlich Scope, Connectoren, Crawler-Abdeckung, Triage und Nachtest.

Die Bearbeitung folgt einem festen Vorgehen: Ausgangslage und Freigabe prüfen, Konfiguration vorbereiten, Arbeitsschritt durchführen, Ergebnis am System kontrollieren und den Sollzustand dokumentieren. So entstehen nicht nur Bedienkenntnisse, sondern belastbare Betriebs- und Qualitätsnachweise.

Inhaltsübersicht

• Einordnung und Zielsetzung
• Zielgruppe
• Lernziele
• Seminarinhalte mit Schritt-für-Schritt-Anleitungen
• Praxisübungen
• Voraussetzungen

Einordnung und Zielsetzung

Das Seminar vermittelt die kontrollierte Orchestrierung dynamischer Webscans mit ZAP und Burp einschließlich Scope, Connectoren, Crawler-Abdeckung, Triage und Nachtest. Die Inhalte werden in einer isolierten Schulungsumgebung schrittweise vorbereitet, durchgeführt, geprüft und in einen nachvollziehbaren Arbeits- und Betriebsablauf überführt.

Zielgruppe

Application-Security-Testing, Webentwicklung, DevSecOps, Penetrationstests und Webanwendungsbetrieb

Lernziele

• Den Themenbereich „Freigabe, Scope und Testschutz“ schrittweise konfigurieren, prüfen und in den Betrieb einordnen.
• Organisationen, Projekte und Ziele eindeutig strukturieren und verantworten.
• OWASP ZAP kontrolliert anbinden, ausführen und auf tatsächliche Scanabdeckung prüfen.
• Burp kontrolliert anbinden, ausführen und auf tatsächliche Scanabdeckung prüfen.
• Webscanner kontrolliert anbinden, ausführen und auf tatsächliche Scanabdeckung prüfen.
• Findings belastbar bewerten, entscheiden, zuweisen und bis zur Nachprüfung verfolgen.
• Webscanner kontrolliert anbinden, ausführen und auf tatsächliche Scanabdeckung prüfen.

Seminarinhalte

Die Module bauen aufeinander auf. Jeder Abschnitt enthält einen definierten Prüfpunkt, bevor der nächste Arbeitsschritt beginnt.

Modul 1: Freigabe, Scope und Testschutz

Modulziel: Den Themenbereich „Freigabe, Scope und Testschutz“ schrittweise konfigurieren, prüfen und in den Betrieb einordnen.

1. Ausgangslage, Ziele, Abhängigkeiten und Verantwortlichkeiten für „Freigabe, Scope und Testschutz“ erfassen.
2. Benötigte Objekte, Zugänge, Testdaten und Sicherheitsgrenzen vorbereiten.
3. Konfiguration oder Arbeitsablauf in der Schulungsinstanz schrittweise umsetzen.
4. Erfolg, erwartete Ablehnung und einen typischen Fehlerfall kontrollieren.
5. Sollzustand, Prüfnachweis, Eigentümer und nächste Wartungsaktion dokumentieren.

Modul 2: Ziel- und Projektmodell

Modulziel: Organisationen, Projekte und Ziele eindeutig strukturieren und verantworten.

1. Unternehmens-, Produkt-, Team- und Umgebungsgrenzen aufnehmen.
2. Namenskonventionen für Organisation, Projekt, Ziel und Scanlauf festlegen.
3. Beispielstrukturen mit eindeutiger fachlicher und technischer Eigentümerschaft anlegen.
4. Sichtbarkeit, Projektgrenzen und Zuordnung von Scannergebnissen kontrollieren.
5. Archivierung, Übergabe und Bereinigung veralteter Strukturen dokumentieren.

Modul 3: OWASP-ZAP-Integration

Modulziel: OWASP ZAP kontrolliert anbinden, ausführen und auf tatsächliche Scanabdeckung prüfen.

1. Freigegebenes Ziel, erlaubte Hosts, ausgeschlossene Pfade und Abbruchkriterien festlegen.
2. OWASP ZAP-Endpunkt, Netzwerkpfad, technisches Konto und Connectorparameter vorbereiten.
3. Verbindungstest und einen kleinen Pilotscan mit konservativem Profil durchführen.
4. Crawler-Reichweite, geschützte und ungeschützte Kontrollpfade sowie unerwartete Abmeldungen prüfen.
5. Importierte Findings stichprobenartig gegen Scannerlauf und technischen Beleg vergleichen.

Modul 4: Burp-Integration und Reportweg

Modulziel: Burp kontrolliert anbinden, ausführen und auf tatsächliche Scanabdeckung prüfen.

1. Freigegebenes Ziel, erlaubte Hosts, ausgeschlossene Pfade und Abbruchkriterien festlegen.
2. Burp-Endpunkt, Netzwerkpfad, technisches Konto und Connectorparameter vorbereiten.
3. Verbindungstest und einen kleinen Pilotscan mit konservativem Profil durchführen.
4. Crawler-Reichweite, geschützte und ungeschützte Kontrollpfade sowie unerwartete Abmeldungen prüfen.
5. Importierte Findings stichprobenartig gegen Scannerlauf und technischen Beleg vergleichen.

Modul 5: Crawler-Abdeckung und Scanqualität

Modulziel: Webscanner kontrolliert anbinden, ausführen und auf tatsächliche Scanabdeckung prüfen.

1. Freigegebenes Ziel, erlaubte Hosts, ausgeschlossene Pfade und Abbruchkriterien festlegen.
2. Webscanner-Endpunkt, Netzwerkpfad, technisches Konto und Connectorparameter vorbereiten.
3. Verbindungstest und einen kleinen Pilotscan mit konservativem Profil durchführen.
4. Crawler-Reichweite, geschützte und ungeschützte Kontrollpfade sowie unerwartete Abmeldungen prüfen.
5. Importierte Findings stichprobenartig gegen Scannerlauf und technischen Beleg vergleichen.

Modul 6: Finding-Triage und Nachtest

Modulziel: Findings belastbar bewerten, entscheiden, zuweisen und bis zur Nachprüfung verfolgen.

1. Projekt, Ziel, Scanner, technischer Beleg und betroffene Komponente auf Datenqualität prüfen.
2. Schweregrad mit Exposition, Ausnutzbarkeit, Assetkritikalität und vorhandenen Kontrollen ergänzen.
3. False Positive, nicht anwendbar, Duplikat und akzeptiertes Risiko klar unterscheiden.
4. Eigentümer, Maßnahme, Zieltermin, Zwischenkontrolle und Eskalation zuordnen.
5. Vergleichbaren Nachtest durchführen und Schließung nur mit nachvollziehbarem Nachweis vornehmen.

Modul 7: Wiederkehrender Webscan-Betrieb

Modulziel: Webscanner kontrolliert anbinden, ausführen und auf tatsächliche Scanabdeckung prüfen.

1. Freigegebenes Ziel, erlaubte Hosts, ausgeschlossene Pfade und Abbruchkriterien festlegen.
2. Webscanner-Endpunkt, Netzwerkpfad, technisches Konto und Connectorparameter vorbereiten.
3. Verbindungstest und einen kleinen Pilotscan mit konservativem Profil durchführen.
4. Crawler-Reichweite, geschützte und ungeschützte Kontrollpfade sowie unerwartete Abmeldungen prüfen.
5. Importierte Findings stichprobenartig gegen Scannerlauf und technischen Beleg vergleichen.

Praxisübungen

1. Den Themenbereich „Freigabe, Scope und Testschutz“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Sollzustand, Prüfnachweis, Eigentümer und nächste Wartungsaktion dokumentieren.“ abnehmen.
2. Den Themenbereich „OWASP-ZAP-Integration“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Importierte Findings stichprobenartig gegen Scannerlauf und technischen Beleg vergleichen.“ abnehmen.
3. Den Themenbereich „Crawler-Abdeckung und Scanqualität“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Importierte Findings stichprobenartig gegen Scannerlauf und technischen Beleg vergleichen.“ abnehmen.
4. Den Themenbereich „Wiederkehrender Webscan-Betrieb“ anhand eines vollständigen Laborfalls umsetzen und mit dem Prüfschritt „Importierte Findings stichprobenartig gegen Scannerlauf und technischen Beleg vergleichen.“ abnehmen.
5. Einen absichtlich erzeugten Fehler anhand von Zeitstempel, Laufkennung, Dienstzustand und Protokollen eingrenzen.
6. Eine kompakte Kontrollliste mit Sollzustand, Eigentümer, Wiederholungsintervall und Eskalationsweg erstellen.

Voraussetzungen

Grundkenntnisse zu HTTP, Webanwendungen und dynamischen Scannern sowie eine freigegebene Schulungsanwendung