Seminar Probely Authentifizierte Scans und Login-Sequenzen

Ein nicht authentifizierter Scan sieht häufig nur die öffentliche Oberfläche. Aussagekräftige Prüfungen geschützter Funktionen benötigen stabile Testidentitäten, kontrollierte Sitzungen und eine zuverlässige Erkennung, ob der Scanner tatsächlich angemeldet ist. Das Seminar baut diese Kette schrittweise auf.

Inhaltsübersicht

• Nutzen und Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Einordnung im Lernpfad

Nutzen und Lernziele

• Geeignete Testkonten und Rollen für Sicherheitsprüfungen planen
• Formularbasierte Anmeldung und Login-Sequenzen reproduzierbar konfigurieren
• Token, Header, Cookies und Basic Authentication sicher einsetzen
• Sitzungsstatus und erfolgreiche Anmeldung zuverlässig verifizieren
• MFA-, SSO- und zeitabhängige Anmeldeverfahren realistisch bewerten
• Fehlgeschlagene oder instabile Authentifizierung methodisch diagnostizieren

Zielgruppe

AppSec- und Pentest-Teams, Probely-Anwender, Web- und API-Entwickler, Testautomatisierer, Identity-Spezialisten und Betreiber geschützter Anwendungen

Voraussetzungen

Grundkenntnisse in HTTP, Cookies, Sessions und Webanmeldungen sowie Teilnahme am Grundlagenkurs oder vergleichbare Erfahrung. Benötigt werden freigegebene Testkonten mit unterschiedlichen Rollen.

Seminarinhalte

Modul 1: Authentifizierungsmodell und Testidentitäten

1. Anmeldewege, Rollen, Mandanten und erreichbare Funktionsbereiche erfassen
2. Technische Testkonten mit minimal notwendigen, aber repräsentativen Rechten anlegen
3. Kontosperre, Passwortrotation, MFA und Sitzungsdauer dokumentieren
4. Produktive Benutzerkonten und persönliche Zugangsdaten ausdrücklich ausschließen

Modul 2: Formularbasierte Anmeldung konfigurieren

1. Login-Seite, Formularfelder, Absendeaktion und Weiterleitung identifizieren
2. Benutzername und Passwort als geschützte Werte hinterlegen
3. Erfolgsmerkmal einer angemeldeten Sitzung festlegen
4. Testanmeldung ausführen und Zugriff auf eine geschützte Seite kontrollieren

Modul 3: Login-Sequenzen aufzeichnen

1. Notwendige Schritte vom Aufruf bis zur stabilen Sitzung festlegen
2. Interaktionen mit Feldern, Schaltflächen und Weiterleitungen in korrekter Reihenfolge erfassen
3. Dynamische Werte und unnötige Navigationsschritte reduzieren
4. Sequenz wiederholt abspielen und auf zeitliche oder zustandsabhängige Fehler prüfen

Modul 4: Navigationssequenzen für geschützte Bereiche

1. Bereiche identifizieren, die erst nach zusätzlicher Navigation erreichbar werden
2. Ausgangszustand und benötigte Vorbedingungen definieren
3. Sequenz mit ungefährlichen Testdaten aufbauen
4. Nach jedem kritischen Schritt einen stabilen Prüfpunkt einfügen

Modul 5: API-Token, Header, Cookies und Basic Authentication

1. Passende Authentifizierungsart je Ziel und Endpoint bestimmen
2. Token oder statische Header getrennt von Definitionen und Logs hinterlegen
3. Cookie-Domäne, Pfad, Ablauf und SameSite-Verhalten prüfen
4. Fehlende, abgelaufene und unzureichend berechtigte Zugangsdaten als Negativfälle testen

Modul 6: Sitzungsprüfung und Logout-Erkennung

1. Ein eindeutiges Element oder eine geschützte Antwort als Anmeldungserfolg wählen
2. Öffentliche Inhalte vermeiden, die auch ohne Sitzung sichtbar sind
3. Automatische Abmeldung, Leerlaufzeit und parallele Sitzungen testen
4. Bei Sitzungsverlust Scan stoppen oder erneute Anmeldung kontrolliert auslösen

Modul 7: MFA, SSO und nicht automatisierbare Schritte

1. Interaktive Faktoren, Captchas und externe Identity-Provider im Ablauf erfassen
2. Prüfen, ob ein technischer Testweg oder ein geeignetes Token bereitgestellt werden kann
3. Sicherheitskontrollen nicht durch unsichere Dauerfreigaben umgehen
4. Nicht automatisierbare Bereiche offen dokumentieren und ergänzende Prüfverfahren planen

Modul 8: Fehlerdiagnose und Stabilisierung

1. Fehler in Erreichbarkeit, Formularerkennung, Zugangsdaten, Weiterleitung und Sitzung trennen
2. Browserablauf und Scannerablauf mit denselben Testdaten vergleichen
3. Zeitstempel, Zertifikate, Proxy, Cookies und Antwortcodes kontrollieren
4. Nach jeder Änderung einen kleinen Authentifizierungstest vor dem Vollscan durchführen

Praxisübungen

• Einrichtung eines formularbasierten Logins mit verlässlichem Erfolgsmerkmal
• Aufzeichnung einer mehrstufigen Login-Sequenz
• Konfiguration einer API-Authentifizierung über Token und statischen Header
• Simulation eines Sitzungsablaufs während eines Scans
• Analyse einer instabilen Anmeldung mit Weiterleitungs- und Cookie-Problemen

Einordnung im Lernpfad

Empfohlen nach dem Grundlagenkurs und vor vertieften Web- oder API-Scans. Das Seminar ergänzt Scanprofil- und Scope-Tuning, ersetzt aber keine allgemeine Identity- oder SSO-Administration.