Seminar OWASP ZAP – CI/CD-Integration und Security Quality Gates

Ein Pipeline-Scan muss schnell genug für regelmäßige Ausführung, stabil genug für automatisierte Entscheidungen und tief genug für einen erkennbaren Sicherheitsnutzen sein. Ein einziger universeller Scan erfüllt diese Ziele selten.

Das Seminar entwickelt deshalb ein gestuftes Modell aus schneller Rückmeldung, vertiefter Prüfung und manueller Nacharbeit. Gate-Regeln, Ausnahmen und Artefakte werden wie Quellcode behandelt.

Inhaltsübersicht

1. Seminarziel und Arbeitsweise
2. Pipelineziele und Scan-Stufen festlegen
3. Testumgebung und Erreichbarkeit bereitstellen
4. Scancontainer und Automationsplan integrieren
5. Secrets und Authentifizierung absichern
6. Quality Gates risikobasiert definieren
7. Artefakte und Befundfluss gestalten
8. Stabilität, Wartung und Kennzahlen
9. Praxisübungen und Arbeitsaufträge
10. Zielgruppe, Voraussetzungen und Arbeitsumgebung

Seminarziel

Eine mehrstufige DAST-Pipeline mit ZAP entwerfen und implementieren, die reproduzierbar scannt, sichere Secrets nutzt, Befunde bewertet und nachvollziehbare Freigabeentscheidungen unterstützt.

Arbeitsweise

Vortrag, Demonstrationen und praktische Übungen werden in kurzen Arbeitszyklen verbunden. Jeder Themenblock beginnt mit einem klar abgegrenzten Testziel, führt über die Konfiguration und Durchführung zur fachlichen Prüfung und endet mit dokumentierten Kontrollpunkten. Belastende oder angreifende Funktionen werden ausschließlich in ausdrücklich freigegebenen Labor- und Zielumgebungen eingesetzt.

Schrittweise Seminarinhalte

1. Pipelineziele und Scan-Stufen festlegen

Die Scanstrategie wird an Commit, Merge, Nightly, Release und produktionsnahe Prüfungen angepasst.

1. Geschwindigkeit, Tiefe und Betriebsrisiko je Pipelinephase definieren.
2. Baseline-, Voll-, API- und Spezialscan sinnvoll zuordnen.
3. Manuelle Freigabepunkte für aktive oder destruktive Tests setzen.
4. Messbare Erfolgs- und Abbruchkriterien festlegen.

Kontrollpunkte: Kein Pipelinejob führt ungeplant aktive Tests gegen Produktion aus; jede Stufe besitzt klaren Sicherheitszweck.

2. Testumgebung und Erreichbarkeit bereitstellen

ZAP benötigt eine stabile Anwendung, Daten und Netzwerkroute. Flakiness der Umgebung darf nicht als Sicherheitsbefund erscheinen.

1. Deployment und Readiness der Testanwendung prüfen.
2. Seed-Daten und Testkonten reproduzierbar erzeugen.
3. Container-Netzwerk, DNS und Zertifikate konfigurieren.
4. Cleanup und Wiederherstellung nach Scan sicherstellen.

Kontrollpunkte: Anwendung ist vor Scanbeginn funktional geprüft; Testdaten lassen sich nach jedem Lauf zurücksetzen.

3. Scancontainer und Automationsplan integrieren

Containerstart, Volumes, Ports und YAML-Pläne werden in einen deterministischen Job überführt.

1. Geeignetes ZAP-Image auswählen und versionieren.
2. Automation-Framework-Plan oder Packaged Scan einbinden.
3. Konfigurationen und Reports über definierte Volumes austauschen.
4. Timeouts, Ressourcenlimits und sauberes Beenden setzen.

Kontrollpunkte: Job ist lokal und im Runner gleich ausführbar; Image- und Planversion sind eindeutig dokumentiert.

4. Secrets und Authentifizierung absichern

Credentials, API-Schlüssel und Tokens gelangen ausschließlich über den Secret-Mechanismus der Pipeline in den Lauf.

1. Secrets aus Repository und Plan entfernen.
2. Kurzlebige Testcredentials bereitstellen.
3. Authentifizierungsstatus im Scan verifizieren.
4. Logs und Artefakte auf versehentliche Secret-Ausgabe prüfen.

Kontrollpunkte: Secrets werden nach dem Job verworfen; fehlgeschlagene Anmeldung führt nicht zu einem scheinbar erfolgreichen Scan.

5. Quality Gates risikobasiert definieren

Gate-Regeln verbinden Risiko, Confidence, Neuheit und Freigabestatus eines Befunds.

1. Schwellenwerte für neue High- und Medium-Alerts festlegen.
2. Bekannte Befunde mit Eigentümer und Ablaufdatum filtern.
3. Warnung, Fehlschlag und manuelle Prüfung unterscheiden.
4. Exit-Code und Pipelinezustand eindeutig abbilden.

Kontrollpunkte: Eine Ausnahme kann nicht unbegrenzt und eigentümerlos bestehen; Gate-Regeln sind in Review und Versionskontrolle.

6. Artefakte und Befundfluss gestalten

Berichte müssen technisch verwertbar, datensparsam und dem richtigen Empfängerkreis zugänglich sein.

1. Maschinenlesbares und lesbares Format parallel erzeugen.
2. Request- und Responseinhalte auf notwendige Evidenz begrenzen.
3. Artefakte mit Build, Commit, Ziel und Policy kennzeichnen.
4. Befunde in Ticket- oder Reviewprozess übergeben.

Kontrollpunkte: Artefaktzugriff entspricht der Schutzklasse; ein Befund lässt sich dem exakten Scanlauf zuordnen.

7. Stabilität, Wartung und Kennzahlen

Pipelines werden gegen Netzwerkfehler, Regeländerungen und wachsende Laufzeiten abgesichert.

1. Technische Fehler von Sicherheitsfehlern trennen.
2. Retries nur für geeignete Infrastrukturfehler einsetzen.
3. Laufzeit, Abdeckung und Alert-Trends beobachten.
4. Regelmäßigen Review für Images, Add-ons, Policies und Ausnahmen planen.

Kontrollpunkte: Flakiness wird gemessen statt durch pauschale Wiederholung verdeckt; Kennzahlen fördern Qualität und nicht bloß geringe Alertzahlen.

Praxisübungen und Arbeitsaufträge

• Aufbau einer gestuften Pipeline aus Baseline- und Tiefenscan
• Bereitstellung einer Testanwendung mit Readiness- und Cleanup-Schritt
• Secret-basierte authentifizierte Ausführung
• Formulierung eines Gate-Modells mit Warnung, Fehler und Ausnahme
• Erzeugung und Klassifizierung von Pipeline-Artefakten

Zielgruppe

DevSecOps Engineers, Build- und Release-Teams, Application-Security-Teams, Plattformverantwortliche und technische Projektleitung

Voraussetzungen

ZAP- und Containergrundlagen, YAML- oder Pipelinekenntnisse sowie Zugriff auf eine kontrollierte Testumgebung

Arbeitsumgebung

Verwendet werden eine isolierte ZAP-Installation oder ein geeigneter Container, ein getrenntes Browserprofil, eine ausdrücklich freigegebene Laboranwendung, vorbereitete Testkonten und versionskontrollierbare Konfigurationsdateien. Produktive Ziele, persönliche Konten und nicht genehmigte Drittsysteme sind ausgeschlossen.