Seminar OWASP ZAP – API-Sicherheitstests mit OpenAPI, SOAP, GraphQL und Postman

APIs besitzen häufig keine klassische Navigationsoberfläche. Ihre Angriffsfläche entsteht aus Definitionen, Endpunkten, Parametern, Objektbeziehungen, Authentisierung und mehrstufigen Abläufen.

Das Seminar verbindet Definitionsimport, manuelle Request-Analyse und automatisierte Scans. Dadurch werden technische Schwachstellen ebenso berücksichtigt wie objektbezogene Zugriffsfehler und unzureichend abgesicherte Prozessketten.

Inhaltsübersicht

1. Seminarziel und Arbeitsweise
2. API-Landschaft und Testmodell erfassen
3. Definitionen und Sammlungen importieren
4. Authentifizierung und Tokenfluss einrichten
5. Endpunkte und Parameter erkunden
6. Aktive API-Scans abstimmen
7. Autorisierung und Geschäftslogik manuell prüfen
8. API-Scans automatisieren und berichten
9. Praxisübungen und Arbeitsaufträge
10. Zielgruppe, Voraussetzungen und Arbeitsumgebung

Seminarziel

Aufbau eines reproduzierbaren API-Testplans, der Definitionen, Authentifizierung, Exploration, aktive Scans, manuelle Prüfungen und automatisierte Ausführung zusammenführt.

Arbeitsweise

Vortrag, Demonstrationen und praktische Übungen werden in kurzen Arbeitszyklen verbunden. Jeder Themenblock beginnt mit einem klar abgegrenzten Testziel, führt über die Konfiguration und Durchführung zur fachlichen Prüfung und endet mit dokumentierten Kontrollpunkten. Belastende oder angreifende Funktionen werden ausschließlich in ausdrücklich freigegebenen Labor- und Zielumgebungen eingesetzt.

Schrittweise Seminarinhalte

1. API-Landschaft und Testmodell erfassen

Vor dem Import werden Protokolle, Versionen, Basispfade, Rollen und schreibende Operationen inventarisiert.

1. REST-, SOAP- und GraphQL-Schnittstellen voneinander abgrenzen.
2. Testdaten, Mandanten und Benutzerrollen festlegen.
3. Kritische Operationen und irreversible Aktionen kennzeichnen.
4. Sollverhalten für Statuscodes, Schemas und Berechtigungen definieren.

Kontrollpunkte: Jede API-Version besitzt einen eindeutigen Scope; destruktive Operationen sind abgesichert oder ausgeschlossen.

2. Definitionen und Sammlungen importieren

ZAP erzeugt aus OpenAPI, WSDL, GraphQL-Schema und Postman-Sammlung eine prüfbare Sites-Struktur.

1. Definition auf Vollständigkeit und gültige Serverangaben prüfen.
2. Importverfahren passend zum Format auswählen.
3. Generierte Endpunkte, Methoden und Parameter kontrollieren.
4. Fehlende oder dynamische Requests manuell ergänzen.

Kontrollpunkte: Importierte Pfade stimmen mit der Testumgebung überein; keine produktive Serveradresse wird versehentlich übernommen.

3. Authentifizierung und Tokenfluss einrichten

API-Tests benötigen stabile Tokens, Rollen und Erneuerungslogik. Statische Header genügen nur für einfache Fälle.

1. Tokenquelle und Gültigkeitsdauer bestimmen.
2. Header, Cookies oder Request-Bodies über Context, Replacer oder Skript setzen.
3. Erkennung abgelaufener Anmeldung konfigurieren.
4. Mehrere Benutzer für Autorisierungstests anlegen.

Kontrollpunkte: Tokenwechsel erfolgt ohne manuelle Sitzungstricks; Secrets erscheinen nicht in Berichten oder Protokollen.

4. Endpunkte und Parameter erkunden

Importierte Definitionen werden durch reale Requests, Fehlerfälle und Datenvarianten ergänzt.

1. Pfad-, Query-, Header- und Body-Parameter klassifizieren.
2. Optionale Felder, Grenzwerte und unterschiedliche Content-Types testen.
3. GraphQL-Operationen und Variablen getrennt erfassen.
4. Antwortschemas, Fehlermeldungen und Seiteneffekte vergleichen.

Kontrollpunkte: Testdaten decken gültige und ungültige Varianten ab; Objektkennungen verschiedener Benutzer sind verfügbar.

5. Aktive API-Scans abstimmen

Regelwahl und Eingabevektoren werden auf API-Protokolle und tatsächliche Technologien zugeschnitten.

1. API-geeignete Scan Policy erstellen.
2. Unpassende browserorientierte Regeln deaktivieren.
3. Request-Rate und Parallelität an die Testumgebung anpassen.
4. Serverfehler, unerwartete Content-Types und Scanbefunde gemeinsam bewerten.

Kontrollpunkte: Policy und Definition sind versioniert; Scan erzeugt keine unkontrollierten Datenbestände.

6. Autorisierung und Geschäftslogik manuell prüfen

Objektzugriffe, Mengenbegrenzungen und Prozessreihenfolgen benötigen gezielte Gegenproben.

1. Objektkennungen zwischen Benutzern tauschen.
2. Nicht dokumentierte Methoden und Parameterkombinationen testen.
3. Reihenfolgeabhängige Operationen als Sequenz prüfen.
4. Rate-Limits, Fehlerbehandlung und Wiederholungen beobachten.

Kontrollpunkte: Fachliche Auswirkung wird unabhängig vom Scanner bestätigt; Testfälle unterscheiden fehlende Authentisierung von fehlender Autorisierung.

7. API-Scans automatisieren und berichten

Docker-API-Scan oder Automation Framework führen die geprüfte Konfiguration wiederholbar aus.

1. Definition und Konfiguration als Pipeline-Artefakte bereitstellen.
2. Secrets zur Laufzeit injizieren.
3. Warn-, Fehler- und Abbruchkriterien festlegen.
4. HTML-, JSON- oder XML-Berichte ohne sensible Nutzdaten erzeugen.

Kontrollpunkte: Pipeline-Ergebnis ist anhand klarer Regeln deterministisch; Berichte enthalten reproduzierbare Endpunkt- und Parameternachweise.

Praxisübungen und Arbeitsaufträge

• Import und Kontrolle einer OpenAPI-Definition
• Konfiguration eines Tokenflusses für zwei Benutzerrollen
• Aktiver Scan mit API-spezifischer Policy
• GraphQL- und SOAP-Beispielprüfung mit manueller Gegenprobe
• Automatisierter API-Scan mit reproduzierbarem Ergebniscode

Zielgruppe

API-Entwickler, Penetration Tester, Application-Security-Teams, DevSecOps Engineers und technische Qualitätssicherung

Voraussetzungen

ZAP-Grundlagen, HTTP- und JSON-Kenntnisse sowie Zugriff auf eine freigegebene Test-API mit Beispieldaten

Arbeitsumgebung

Verwendet werden eine isolierte ZAP-Installation oder ein geeigneter Container, ein getrenntes Browserprofil, eine ausdrücklich freigegebene Laboranwendung, vorbereitete Testkonten und versionskontrollierbare Konfigurationsdateien. Produktive Ziele, persönliche Konten und nicht genehmigte Drittsysteme sind ausgeschlossen.