Seminar Holm Security VMP – Web Application Security

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Seminarinhalte
6. 1. Anwendungsinventar und Schutzbedarf
7. 2. Scanner-Platzierung und Erreichbarkeit
8. 3. Web-Asset und Scope
9. 4. Crawling und moderne Anwendungen
10. 5. Authentifizierte Web-Prüfung
11. 6. Profil, Zeitplan und sichere Ausführung
12. 7. Befundanalyse
13. 8. Remediation, Re-Scan und Reporting
14. Praxisanteil
15. Methodik

Seminarprofil

Die Schulung behandelt Webanwendungsprüfungen vom Asset-Inventar bis zur technischen Nachprüfung. Besonderes Gewicht liegt auf sicheren Grenzen, authentifizierten Bereichen, modernen JavaScript-Anwendungen, Testdaten und der Übersetzung technischer Befunde in umsetzbare Aufgaben für Entwicklung und Betrieb.

Zielgruppe

Application Security Engineers, Webentwickler, DevSecOps-Teams, Security Consultants, Plattformadministratoren, Web- und Anwendungsverantwortliche.

Voraussetzungen

Grundkenntnisse zu HTTP, Webanwendungen, Authentifizierung und typischen Anwendungsschwachstellen. Für Übungen wird eine freigegebene Schulungsanwendung verwendet.

Lernziele

• Webanwendungen, Umgebungen, Eigentümer und Prüfgrenzen vollständig erfassen.
• Scanner, Crawling, Authentifizierung und Testdaten sicher vorbereiten.
• Profile und Zeitpläne für moderne Anwendungen reproduzierbar konfigurieren.
• Befunde technisch validieren und nach Ausnutzbarkeit und Geschäftsrelevanz priorisieren.
• Korrekturen in Entwicklungsprozesse überführen und durch Re-Scans verifizieren.

Seminarinhalte

1. Anwendungsinventar und Schutzbedarf

Die Webanwendung wird mit technischen und geschäftlichen Eigenschaften erfasst.

1. Schritt 1: Produktions-, Test- und Entwicklungsinstanzen unterscheiden.
2. Schritt 2: Eigentümer, technische Ansprechpartner und kritische Funktionen zuordnen.
3. Schritt 3: Sensible Daten, administrative Bereiche und externe Abhängigkeiten kennzeichnen.
4. Schritt 4: Prüfgrenzen, Wartungsfenster und Freigaben dokumentieren.

2. Scanner-Platzierung und Erreichbarkeit

Öffentliche und interne Anwendungen benötigen unterschiedliche Prüfpfade.

1. Schritt 1: Cloud-Scanner und Scanner Appliance nach Erreichbarkeit auswählen.
2. Schritt 2: DNS, Routing, Proxy und Zertifikatskette kontrollieren.
3. Schritt 3: Testzugriff aus der Scanner-Perspektive validieren.
4. Schritt 4: Zugelassene Quelladressen und Schutzsysteme mit dem Betrieb abstimmen.

3. Web-Asset und Scope

Der Scan-Bereich wird so begrenzt, dass relevante Funktionen erfasst und unerwünschte Ziele vermieden werden.

1. Schritt 1: Zieladresse, Anwendungsname, Eigentümer und Umgebung anlegen.
2. Schritt 2: Erlaubte Hosts, Pfade und Subdomänen festlegen.
3. Schritt 3: Abmelde-, Lösch-, Zahlungs- oder andere kritische Funktionen ausschließen.
4. Schritt 4: Testdaten und sichere Benutzerkonten vorbereiten.

4. Crawling und moderne Anwendungen

Dynamische Inhalte und clientseitige Navigation werden in die Prüfabdeckung einbezogen.

1. Schritt 1: Startpunkte und Navigationswege festlegen.
2. Schritt 2: JavaScript-basierte Bereiche und nachgeladene Inhalte kontrollieren.
3. Schritt 3: Formulare, Parameter und Zustandswechsel mit Testdaten prüfen.
4. Schritt 4: Erkannte Seiten und Funktionen gegen das erwartete Inventar abgleichen.

5. Authentifizierte Web-Prüfung

Geschützte Bereiche werden mit kontrollierten Testkonten bewertet.

1. Schritt 1: Geeignetes Login-Verfahren und Testrolle auswählen.
2. Schritt 2: Anmeldedaten sicher hinterlegen.
3. Schritt 3: Erfolgreiche Anmeldung und Sitzungserhalt im Pilotlauf prüfen.
4. Schritt 4: Mehrere Rollen bei unterschiedlicher Berechtigung getrennt bewerten.

6. Profil, Zeitplan und sichere Ausführung

Prüftiefe und Last werden auf die Anwendung abgestimmt.

1. Schritt 1: Profil mit geeigneten Tests, Zeitgrenzen und Parallelität erstellen.
2. Schritt 2: Pilotlauf in einer geeigneten Umgebung durchführen.
3. Schritt 3: Anwendungsprotokolle, Fehlerquote und Nebenwirkungen beobachten.
4. Schritt 4: Nach Freigabe wiederkehrenden Zeitplan einrichten.

7. Befundanalyse

Technische Nachweise werden geprüft und in gemeinsame Ursachen überführt.

1. Schritt 1: Befunde nach Eingabevalidierung, Authentifizierung, Autorisierung, Konfiguration und Komponenten gruppieren.
2. Schritt 2: Typische Risiken wie Injection, XSS, CSRF, IDOR, schwache Passwörter und veraltete Komponenten einordnen.
3. Schritt 3: Nachweis und betroffene Funktion ohne unnötige Reproduktion gefährlicher Aktionen validieren.
4. Schritt 4: Ausnutzbarkeit, Datenkritikalität und Reichweite bewerten.

8. Remediation, Re-Scan und Reporting

Korrekturen werden eindeutig beschrieben und technisch bestätigt.

1. Schritt 1: Ticket mit URL-Bereich, Eingabe, Rolle, Nachweis und Zielzustand formulieren.
2. Schritt 2: Gemeinsame Ursachen in Framework, Komponente oder Konfiguration bündeln.
3. Schritt 3: Korrektur in einer geeigneten Umgebung testen.
4. Schritt 4: Erneute Prüfung und zielgruppengerechten Bericht erstellen.

Praxisanteil

Aufnahme einer Schulungsanwendung, Scope- und Crawling-Konfiguration, authentifizierter Pilotlauf, Analyse typischer Webbefunde, Erstellung einer Entwickleraufgabe und technischer Re-Scan.

Methodik

Fachvortrag, Live-Demonstration, geführte Web-Laborübungen, Befundvalidierung und gemeinsames Remediation-Review.