Seminar Secure SDLC – Security Testing mit SAST, DAST und Fuzzing

Seminarbeschreibung

Ein einzelner Scanner kann die Sicherheit einer Anwendung nicht umfassend beurteilen. Das Seminar verbindet deshalb unterschiedliche Prüfverfahren mit konkreten Sicherheitsanforderungen und einem begrenzten Bedrohungsmodell. Behandelt werden die Auswahl geeigneter Testebenen, der Aufbau kontrollierter Testdaten und die Bewertung der tatsächlichen Testabdeckung für fachlich kritische Funktionen.

Die praktische Arbeit erfolgt an einer vorbereiteten Python-Webanwendung mit API sowie einer kleinen Parserfunktion. Analyseläufe werden durchgeführt, Ergebnisse manuell untersucht und korrigierte Stellen erneut getestet. Ein Schwerpunkt liegt auf der Unterscheidung echter Schwachstellen, Fehlalarmen und nicht prüfbaren Annahmen. Fuzzing wird als fokussierter Einstieg mit Testharness und reproduzierbaren Fehlerfällen behandelt; tiefgehende binäre Analyse ist ein eigenes Spezialthema.

Die Prüffälle umfassen zwei Mandanten, mehrere Rollen und eine begrenzte Anzahl geschäftlich relevanter Aktionen. Damit lassen sich fehlende Berechtigungsprüfungen gezielt von allgemeinen Eingabefehlern unterscheiden. Scannerergebnisse werden mit dem tatsächlich verwendeten Anwendungsstand und der jeweiligen Testkonfiguration verbunden. Wenn ein Lauf keine Befunde liefert, wird insbesondere geprüft, ob Anmeldung, Endpunkte und relevante Codebereiche überhaupt erreicht wurden. Die technische Prüfung wird so um eine Prüfung ihrer eigenen Aussagekraft ergänzt, einschließlich bekannter Lücken und notwendiger manueller Ergänzungen.

Inhaltsübersicht

1. Teststrategie und Prüfkriterien
2. Statische Anwendungssicherheitsanalyse
3. Dynamische Web- und API-Prüfungen
4. Berechtigungs- und Geschäftslogiktests
5. Fuzzing und eigenschaftsbasierte Tests
6. Befundbewertung und Wiederholungsprüfung
7. Automatisierung und Freigabe

Seminarinhalte

Teststrategie und Prüfkriterien

• Risiken und Sicherheitsanforderungen geeigneten Prüfverfahren und Testebenen zuordnen.
• Positiv-, Negativ- und Missbrauchstests aus Rollen, Objekten und Geschäftsregeln ableiten.
• Testdaten, zulässige Ziele und Rücksetzverfahren für eine kontrollierte Umgebung festlegen.

Statische Anwendungssicherheitsanalyse

• Eine vorbereitete SAST-Konfiguration ausführen und Datenflussbefunde nachvollziehen.
• Regelsatz, Anwendungsumfang und Baseline an das Testziel anpassen.
• Unterdrückungen begründen, befristen und gegen späteres Übersehen relevanter Änderungen absichern.

Dynamische Web- und API-Prüfungen

• Erreichbarkeit, Testkonten und Authentisierung für dynamische Prüfungen vorbereiten.
• Aktive und passive Prüfungen mit klar abgegrenztem Testumfang durchführen.
• Fehlende Endpunktabdeckung, Sitzungsprobleme und mögliche Seiteneffekte erkennen.

Berechtigungs- und Geschäftslogiktests

• Eine Matrix aus Identität, Rolle, Mandant, Objekt und Aktion in Tests übersetzen.
• Objektzugriffe, sensible Feldänderungen und Reihenfolgen fachlicher Aktionen überprüfen.
• Fehlerfälle mit abgelaufenen Berechtigungen und inkonsistenten Zuständen reproduzierbar prüfen.

Fuzzing und eigenschaftsbasierte Tests

• Eine kleine Eingabefunktion mit einem Testharness und geeignetem Startkorpus versehen.
• Abstürze, Zeitüberschreitungen und verletzte Eigenschaften begrenzt untersuchen.
• Gefundene Eingaben minimieren und als dauerhafte Regressionstests übernehmen.

Befundbewertung und Wiederholungsprüfung

• Reproduzierbarkeit, Erreichbarkeit, Auswirkung und vorhandene Kontrollen gemeinsam bewerten.
• Doppelte Meldungen zusammenführen und nachvollziehbare technische Tickets erstellen.
• Die Wirksamkeit einer Korrektur unabhängig vom ursprünglichen Scannerbefund bestätigen.

Automatisierung und Freigabe

• Schnelle Prüfungen für Änderungen und tiefere Prüfungen für geeignete Intervalle kombinieren.
• Verbindliche Abbruchkriterien mit begründeten Ausnahmen und Eskalationen festlegen.
• Testergebnisse, Konfiguration und Softwarestand für spätere Nachprüfungen aufbewahren.

Praxisübungen

1. Aus ausgewählten Sicherheitsanforderungen eine Testmatrix aufbauen.
2. SAST ausführen und einen echten Befund sowie einen Fehlalarm nachvollziehen.
3. Eine authentisierte dynamische Prüfung in der Testumgebung durchführen.
4. Eine objekt- und mandantenbezogene API-Testserie erstellen.
5. Eine Parserfunktion begrenzt fuzz-testen und einen reproduzierbaren Fehlerfall reduzieren.
6. Befunde zu technischen Tickets mit Priorität und Prüfschritten verdichten.
7. Eine Korrektur erneut prüfen und einen automatisierbaren Freigabenachweis zusammenstellen.