Seminar Webanwendungs-Scanning mit dem Website Scanner

Der Website Scanner prüft laufende Webanwendungen von außen und kombiniert Crawling, Technologieerkennung, passive Analyse und aktive Payload-Tests. Die Qualität hängt wesentlich von Scope, Authentifizierung, Crawling-Abdeckung, Scanmodus und Stabilität der Zielanwendung ab. Ein Standardlauf ohne Voranalyse reicht für professionelle Assessments nicht aus.

Drei Seminartage sind erforderlich, um nicht authentifizierte und authentifizierte Tests, dynamische Anwendungen, KI-unterstützte Endpunkterfassung, aktive Validierung, Performancegrenzen und Re-Tests praktisch zu verbinden. Alle Tests erfolgen auf einer vorbereiteten Laboranwendung.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte mit schrittweisen Arbeitsabläufen
5. Praxisübungen im autorisierten Labor
6. Methodik und Arbeitsweise

Zielsetzung

Ziel ist ein reproduzierbarer DAST-Prozess mit hoher Abdeckung, kontrollierter Testintensität und belastbarer Evidenz.

• Website Scanner als DAST-Werkzeug und seine Abdeckungsgrenzen einordnen.
• Light-, Deep- und Custom-Profile sicher konfigurieren.
• Crawling, Scope, Authentifizierung und dynamische Flows optimieren.
• Aktive und passive Befunde technisch validieren und priorisieren.
• Fokussierte Re-Tests und wiederkehrende Scans einrichten.

Zielgruppe

• Web-Pentester und Security Consultants
• Application-Security- und Product-Security-Teams
• DevSecOps-Fachkräfte und Webentwickler
• Technische Auditoren für Webanwendungen

Voraussetzungen

• Gute Kenntnisse zu HTTP, HTML, JavaScript, Cookies und Sessions
• Grundverständnis typischer Webschwachstellen und DAST
• Sicherer Umgang mit Browser-Entwicklertools
• Verbindliche Autorisierung für sämtliche Testziele; aktive Prüfungen ausschließlich im bereitgestellten Labor oder in ausdrücklich freigegebenen Umgebungen.

Seminarinhalte

1. DAST-Modell und Scope vorbereiten

1. Schritt 1: Anwendung, Hosts, Rollen, Prozesse, Datenklassen und technische Abhängigkeiten erfassen.
2. Schritt 2: Erlaubte Pfade, ausgeschlossene Funktionen und zustandsverändernde Aktionen definieren.
3. Schritt 3: Labor- oder Stagingdaten und Wiederherstellungsweg vorbereiten.
4. Schritt 4: Abdeckungsziele und Stop-Kriterien dokumentieren.

2. Scanmodus und Parameter auswählen

1. Schritt 1: Light-Modus für schnelle Orientierung und Baseline einordnen.
2. Schritt 2: Deep-Modus für umfassendere aktive Prüfung nur nach Stabilitätskontrolle einsetzen.
3. Schritt 3: Custom-Modus für gezielte Tests, Scope und Zeitbudgets konfigurieren.
4. Schritt 4: Request-Rate, maximale Laufzeit und Parallelität an die Zielumgebung anpassen.

3. Crawling und Endpunkterfassung optimieren

1. Schritt 1: Start-URL, erlaubte Hosts, Weiterleitungen und Pfadgrenzen festlegen.
2. Schritt 2: Standardspider ausführen und gefundene URLs sowie Methoden prüfen.
3. Schritt 3: Formulare, JavaScript-Routen und dynamisch geladene Inhalte ergänzen.
4. Schritt 4: Browsergestützte Flow-Erfassung für interaktive Benutzerwege kontrolliert nutzen.

4. Nicht authentifizierten Basisscan durchführen

1. Schritt 1: Erreichbarkeit, Technologieerkennung und initiale Tests prüfen.
2. Schritt 2: Passiv gefundene Konfigurations- und Informationshinweise auswerten.
3. Schritt 3: Aktive Tests auf freigegebene Pfade und ungefährliche Laborwerte begrenzen.
4. Schritt 4: Abdeckung und Fehler vor dem authentifizierten Scan korrigieren.

5. Authentifizierten Scan konfigurieren

1. Schritt 1: Testrollen, Konten, Session-Laufzeit und Login-Erfolgskriterien definieren.
2. Schritt 2: Automatische, aufgezeichnete, Cookie- oder Header-Methode auswählen.
3. Schritt 3: Authentifizierung vor Scanstart verifizieren und Session-Verlust überwachen.
4. Schritt 4: Geschützte URLs und Rollenabdeckung mit dem Prozessmodell vergleichen.

6. Befundklassen und Evidenz analysieren

1. Schritt 1: Injektions-, Zugriffskontroll-, Konfigurations- und Informationsbefunde gruppieren.
2. Schritt 2: Request, Response, Parameter, Rolle und Vorbedingungen prüfen.
3. Schritt 3: Soft-404, WAF-Reaktionen, generische Fehlerseiten und nicht erreichbare Pfade erkennen.
4. Schritt 4: Fehlalarme von bestätigten Schwachstellen und offenen Prüfhypothesen trennen.

7. Leistung und Fehler beherrschen

1. Schritt 1: Laufzeit, Request-Fehler, Timeouts und Zielreaktionen beobachten.
2. Schritt 2: Scope, Rate, Zeitbudget und Testauswahl bei Instabilität reduzieren.
3. Schritt 3: Captchas, Bot-Schutz, externe Abhängigkeiten und nicht deterministische Prozesse dokumentieren.
4. Schritt 4: Unvollständige Scans transparent kennzeichnen und gezielt wiederholen.

8. Re-Test, Zeitplan und Bericht

1. Schritt 1: Behebungsmaßnahmen in konkrete URL-, Parameter- und Rollenprüfungen übersetzen.
2. Schritt 2: Fokussierten Custom- oder erneuten Scan ausführen.
3. Schritt 3: Vorher-Nachher-Evidenz und verbleibende Abdeckungsgrenzen dokumentieren.
4. Schritt 4: Wiederkehrende Scans und einen technischen Bericht mit kuratierten Findings erstellen.

Praxisübungen

• Scope- und Sicherheitsplanung für eine zustandsbehaftete Webanwendung
• Vergleich von Light-, Deep- und Custom-Profilen
• Crawling statischer und dynamischer Endpunkte
• Nicht authentifizierter und authentifizierter Scan mit Rollenabdeckung
• Triage von aktiven, passiven und Soft-404-beeinflussten Resultaten
• Performanceoptimierung, fokussierter Re-Test und technischer Webbericht

Methodik und Arbeitsweise

Die Vermittlung kombiniert strukturierte Fachvorträge, Live-Demonstrationen, geführte Schritt-für-Schritt-Übungen und eigenständige Laboraufgaben. Jeder Arbeitsablauf wird mit Scoping, Konfiguration, sicherer Durchführung, Befundprüfung und dokumentiertem Re-Test vollständig durchlaufen.