Seminar OWASP ZAP – Passive Scans, Alerts, Berichte und False Positives

Passive Scans verändern keine Nachrichten und eignen sich daher für frühe und regelmäßige Analyse. Ihre hohe Reichweite erzeugt jedoch viele Hinweise, die ohne Evidenzprüfung und Ausnahmeprozess schwer nutzbar bleiben.

Das Seminar verbindet technische Alertanalyse mit einer wartbaren Bewertungs- und Berichtspraxis. Ziel ist nicht eine möglichst kleine Alertzahl, sondern nachvollziehbare Qualität.

Inhaltsübersicht

1. Seminarziel und Arbeitsweise
2. Passive Verarbeitung und Queue verstehen
3. Alertstruktur und Evidenz lesen
4. Treffer validieren und deduplizieren
5. False Positives mit Alert Filtern behandeln
6. Berichte auswählen und minimieren
7. Bewertungsprozess und Kennzahlen
8. Praxisübungen und Arbeitsaufträge
9. Zielgruppe, Voraussetzungen und Arbeitsumgebung

Seminarziel

Passive Scanergebnisse vollständig verarbeiten, Alerts fachlich bewerten, False Positives kontrolliert filtern und datensparsame, prüffähige Berichte erzeugen.

Arbeitsweise

Vortrag, Demonstrationen und praktische Übungen werden in kurzen Arbeitszyklen verbunden. Jeder Themenblock beginnt mit einem klar abgegrenzten Testziel, führt über die Konfiguration und Durchführung zur fachlichen Prüfung und endet mit dokumentierten Kontrollpunkten. Belastende oder angreifende Funktionen werden ausschließlich in ausdrücklich freigegebenen Labor- und Zielumgebungen eingesetzt.

Schrittweise Seminarinhalte

1. Passive Verarbeitung und Queue verstehen

ZAP analysiert HTTP- und weitere Nachrichten im Hintergrund. Bericht und Gate dürfen erst nach Abschluss der Queue entstehen.

1. Verkehrsquellen und passive Regelgruppen erfassen.
2. Queue und Verarbeitungsgeschwindigkeit beobachten.
3. Große oder binäre Inhalte angemessen behandeln.
4. Wartebedingung für Desktop und Automation definieren.

Kontrollpunkte: Queue ist vor Auswertung abgeschlossen; Performanceprobleme werden nicht durch Abschalten aller Regeln gelöst.

2. Alertstruktur und Evidenz lesen

Risiko, Confidence, Parameter, Angriff, Evidenz, Request und Response erfüllen unterschiedliche Zwecke.

1. Alert mit zugehöriger Nachricht öffnen.
2. Betroffenen Parameter und Evidenz lokalisieren.
3. Risiko und Confidence getrennt bewerten.
4. Alertquelle und auslösende Regel dokumentieren.

Kontrollpunkte: Bewertung beruht auf der Originalnachricht; Confidence wird nicht mit Auswirkung verwechselt.

3. Treffer validieren und deduplizieren

Wiederholte Seiten, Frameworkantworten und gemeinsame Header können zahlreiche ähnliche Alerts erzeugen.

1. Repräsentative Beispiele auswählen.
2. Gleiche Ursache über mehrere URLs erkennen.
3. Manuelle Gegenprobe für kritische Hinweise durchführen.
4. Root Cause und betroffene Reichweite getrennt dokumentieren.

Kontrollpunkte: Dublettenverlust verdeckt keine unterschiedlichen Parameter; kritische Ursache ist reproduzierbar.

4. False Positives mit Alert Filtern behandeln

Context- und globale Filter überschreiben Risikowerte kontrolliert und können in Automationsplänen gepflegt werden.

1. Filterumfang auf Regel, URL, Parameter und Evidenz begrenzen.
2. Begründung, Eigentümer und Ablaufdatum festlegen.
3. Context-Filter für anwendungsspezifische Ausnahmen bevorzugen.
4. Filter nach Regel- oder Anwendungsupdate erneut prüfen.

Kontrollpunkte: Filter ist so eng wie möglich; jede Ausnahme besitzt Reviewtermin.

5. Berichte auswählen und minimieren

Berichtsformate richten sich nach Empfänger und Weiterverarbeitung; sensible Requests werden nur bei notwendiger Evidenz aufgenommen.

1. Lesbares und maschinenlesbares Format bestimmen.
2. Risikostufen, Sites und Alertdetails passend filtern.
3. Tokens, Cookies und personenbezogene Inhalte maskieren oder vermeiden.
4. Bericht mit Ziel, Zeit, Policy und ZAP-Konfiguration kennzeichnen.

Kontrollpunkte: Bericht ist einem Scanlauf eindeutig zugeordnet; Zugriff und Aufbewahrung entsprechen der Schutzklasse.

6. Bewertungsprozess und Kennzahlen

Ein stabiler Prozess trennt neue, bekannte, akzeptierte, behobene und falsch positive Befunde.

1. Statusmodell und Verantwortlichkeiten definieren.
2. Retest und Wiedereröffnung beschreiben.
3. Kennzahlen zu Neuheit, Alter und Verifikation statt nur Alertzahl verwenden.
4. Regelmäßigen Review für Filter und Reportprofile einplanen.

Kontrollpunkte: Kennzahlen fördern Bearbeitung statt Verdrängung; behobene Befunde werden mit Gegenprobe geschlossen.

Praxisübungen und Arbeitsaufträge

• Analyse einer vollständigen Passive-Scan-Queue
• Bewertung von Risiko, Confidence und Evidenz an mehreren Alerts
• Deduplizierung wiederkehrender Headerbefunde
• Erstellung eines eng begrenzten Context Alert Filters
• Erzeugung eines lesbaren und eines maschinenlesbaren, bereinigten Reports

Zielgruppe

Security Analysts, Application-Security-Teams, Qualitätssicherung, Entwickler und Verantwortliche für DAST-Berichte

Voraussetzungen

ZAP-Grundlagen und Verständnis von HTTP-Requests und -Responses

Arbeitsumgebung

Verwendet werden eine isolierte ZAP-Installation oder ein geeigneter Container, ein getrenntes Browserprofil, eine ausdrücklich freigegebene Laboranwendung, vorbereitete Testkonten und versionskontrollierbare Konfigurationsdateien. Produktive Ziele, persönliche Konten und nicht genehmigte Drittsysteme sind ausgeschlossen.