Seminar MobSF Android SBOM und Abhängigkeitsanalyse

Seminarprofil

Der Kurs konzentriert sich auf Softwarebestandteile, Bibliotheken und Lieferkettenrisiken in Android-Anwendungen. MobSF-Befunde zur Paketstruktur und zu eingebetteten Komponenten werden mit einer methodischen SBOM-Auswertung verbunden. Ziel ist nicht das unkritische Sammeln von Komponentennamen, sondern eine belastbare Priorisierung nach Herkunft, Erreichbarkeit, Aktualität, Lizenz- und Sicherheitsrisiko.

Inhaltsübersicht

• Grundlagen der mobilen Softwarelieferkette
• Erfassung mit MobSF
• Qualität und Normalisierung
• Risikobewertung und Priorisierung
• Prozessintegration und Nachweis

Lernziele

• Bestandteile einer Android-Anwendung strukturiert erfassen und klassifizieren
• SBOM- und Abhängigkeitsdaten auf Vollständigkeit und Plausibilität prüfen
• Komponentenrisiken von tatsächlich ausnutzbaren Anwendungsrisiken unterscheiden
• Befunde für Entwicklung, Einkauf, Betrieb und Compliance verständlich aufbereiten

Seminarinhalte

Modul 1: Grundlagen der mobilen Softwarelieferkette

1. Schritt 1: Eigenentwickelten Code, Bibliotheken, native Komponenten, SDKs und eingebettete Ressourcen unterscheiden.
2. Schritt 2: Typische Herkunfts- und Aktualisierungswege mobiler Abhängigkeiten erfassen.
3. Schritt 3: Direkte, transitive und zur Laufzeit geladene Komponenten voneinander abgrenzen.
4. Schritt 4: Schutzbedarf und Nachweispflichten für eine mobile Komponentenliste festlegen.

Modul 2: Erfassung mit MobSF

1. Schritt 1: APK oder AAB analysieren und Paket-, Datei- sowie Bibliotheksinformationen lokalisieren.
2. Schritt 2: Android-SBOM-Ausgabe und weitere Analysebereiche auf ergänzende Daten prüfen.
3. Schritt 3: Native Bibliotheken, Frameworks, Tracker und verdächtige eingebettete Dateien einordnen.
4. Schritt 4: Erkennungsgrenzen bei Obfuskation, Packern und dynamischem Nachladen dokumentieren.

Modul 3: Qualität und Normalisierung

1. Schritt 1: Komponentennamen, Versionen und Herstellerbezeichnungen vereinheitlichen.
2. Schritt 2: Dubletten und unvollständige Einträge anhand des Paketkontexts bewerten.
3. Schritt 3: Fehlende Versionsinformationen mit reproduzierbaren Analysehinweisen kennzeichnen.
4. Schritt 4: Mindestfelder und Qualitätskriterien für eine freigabefähige SBOM festlegen.

Modul 4: Risikobewertung und Priorisierung

1. Schritt 1: Bekanntes Komponentenrisiko, Anwendungsnutzung und exponierte Angriffsfläche getrennt beurteilen.
2. Schritt 2: Erreichbarkeit und Schutzmechanismen anhand von Code- und Manifestbefunden prüfen.
3. Schritt 3: Kritische SDKs, veraltete Bibliotheken und unerwünschte Tracker priorisieren.
4. Schritt 4: Maßnahmen in Aktualisierung, Entfernung, Kompensation oder Akzeptanz überführen.

Modul 5: Prozessintegration und Nachweis

1. Schritt 1: SBOM-Prüfungen in Build-, Freigabe- und Lieferantenprozesse einordnen.
2. Schritt 2: Schwellenwerte und Ausnahmeverfahren für neue oder geänderte Komponenten definieren.
3. Schritt 3: Berichtsteile für Entwicklung, Management und Compliance differenzieren.
4. Schritt 4: Wiederholungsprüfungen und Änderungsvergleiche für neue App-Versionen planen.

Praxisübungen

• Erzeugung und Qualitätsprüfung einer Android-Komponentenübersicht
• Risikopriorisierung mehrerer Bibliotheken anhand von Nutzung und Exposition
• Entwurf eines Freigabegates für neue mobile Abhängigkeiten

Zielgruppe

Android-Entwickler, AppSec-Teams, Software-Asset- und Vulnerability-Manager, Compliance-Verantwortliche sowie technische Einkäufer.

Vorkenntnisse

Grundverständnis von Android-Paketen, Build-Abhängigkeiten und Sicherheitsbefunden. MobSF-Grundkenntnisse sind empfohlen.