Seminar Edgescan Mobile Application Security Testing (MAST)

Mobile Anwendungen bestehen aus nativer Komponente, Backend, APIs, Identitäten und Daten auf dem Gerät. Eine belastbare Prüfung muss diese Ebenen gemeinsam betrachten und insbesondere unbeabsichtigte Datenspuren sowie abweichende Gerätezustände berücksichtigen.

Die Schulung führt von der sicheren Bereitstellung eines Builds über API- und App-Tests bis zur Geräteforensik. Befunde werden nach Ausnutzbarkeit, Datenwirkung und Geschäftskontext priorisiert und in einen nachvollziehbaren Korrekturprozess überführt.

Inhaltsübersicht

• Zielgruppe und Einsatzbereich
• Voraussetzungen
• Kompetenzziele
• Seminarinhalte
• Praxisaufgaben

Zielgruppe und Einsatzbereich

Inhaltsverzeichnis des Kapitels: Rollen; Verantwortungsbereiche; typische Nutzungsszenarien.

• Mobile- und Backend-Entwicklung
• Application Security
• Security Testing
• Mobile Device Security
• Vulnerability Management

Voraussetzungen

Inhaltsverzeichnis des Kapitels: Fachkenntnisse; Plattformzugang; Übungsumgebung.

Grundkenntnisse mobiler App-Architekturen, HTTP und APIs; praktische Erfahrung mit iOS oder Android ist hilfreich.

Kompetenzziele

Inhaltsverzeichnis des Kapitels: Einordnung; Konfiguration; operative Anwendung; Kontrolle und Dokumentation.

• Mobile Assets, Builds, APIs und Testidentitäten vollständig vorbereiten.
• Automatisierte und manuelle Prüfungen über App und Backend koordinieren.
• Geräteforensik und Datenabflussrisiken fachlich auswerten.
• Mobile Befunde priorisieren, korrigieren, retesten und berichten.

Seminarinhalte

Inhaltsverzeichnis des Kapitels: Mobile Architektur und Scope; Onboarding von Build und Testumgebung; API- und Backend-Prüfung; Native App und manuelle Tests; Geräteforensik und abweichende Zustände; Befunde, Remediation und Retest.

Kapitel 1: Mobile Architektur und Scope

Inhaltsverzeichnis des Kapitels: native App; Backend und APIs; Identitäten; Datenflüsse.

Eine mobile Anwendung wird als vollständiges System mit Komponenten, Vertrauensgrenzen und Testzielen modelliert.

1. Schritt 1: Ziel und fachlichen Kontext von native App bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Backend und APIs in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Identitäten anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Datenflüsse prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 2: Onboarding von Build und Testumgebung

Inhaltsverzeichnis des Kapitels: iOS und Android; Build-Bereitstellung; Testgeräte; Version und Konfiguration.

Ein Build wird kontrolliert aufgenommen und mit korrekter Umgebung sowie Testidentitäten verknüpft.

1. Schritt 1: Ziel und fachlichen Kontext von iOS und Android bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Build-Bereitstellung in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Testgeräte anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Version und Konfiguration prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 3: API- und Backend-Prüfung

Inhaltsverzeichnis des Kapitels: Endpunkte; Authentifizierung; Autorisierung; Geschäftslogik.

Backend- und API-Risiken werden als Grundlage für die mobile Gesamtbewertung geprüft.

1. Schritt 1: Ziel und fachlichen Kontext von Endpunkte bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Authentifizierung in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Autorisierung anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Geschäftslogik prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 4: Native App und manuelle Tests

Inhaltsverzeichnis des Kapitels: lokale Speicherung; Transport und Zertifikate; Manipulation; mehrstufige Abläufe.

Die native Komponente wird auf technische und fachliche Schwächen untersucht.

1. Schritt 1: Ziel und fachlichen Kontext von lokale Speicherung bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Transport und Zertifikate in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Manipulation anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: mehrstufige Abläufe prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 5: Geräteforensik und abweichende Zustände

Inhaltsverzeichnis des Kapitels: Dateien und Caches; Logs und Zwischenablage; Jailbreak oder Root; Datenabfluss.

Gerätespuren werden gesammelt, bewertet und mit den ausgeführten App-Aktionen in Beziehung gesetzt.

1. Schritt 1: Ziel und fachlichen Kontext von Dateien und Caches bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Logs und Zwischenablage in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Jailbreak oder Root anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Datenabfluss prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 6: Befunde, Remediation und Retest

Inhaltsverzeichnis des Kapitels: Risikokontext; Entwicklerübergabe; neuer Build; Abschlussbericht.

Ein mobiler Befund wird von der Reproduktion bis zur verifizierten Korrektur in einem neuen Build bearbeitet.

1. Schritt 1: Ziel und fachlichen Kontext von Risikokontext bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Entwicklerübergabe in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: neuer Build anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Abschlussbericht prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Praxisaufgaben

Inhaltsverzeichnis des Kapitels: Vorbereitung; Durchführung; Kontrolle; Dokumentation.

1. Mobile Architektur mit App-, API- und Datenflüssen dokumentieren.
2. Build und Testidentitäten für iOS oder Android vorbereiten.
3. Geräteforensische Spuren und Datenabflussrisiken auswerten.
4. Befund, Entwicklerkorrektur und Retest eines neuen Builds durchführen.