Seminar Security Testing: Code-Reviews, SAST, DAST und Fuzzing

Seminarbeschreibung

Kein Prüfwerkzeug erkennt alle Sicherheitsfehler. Das Seminar zeigt, wie manuelle und automatisierte Verfahren passend zur Architektur kombiniert werden und welche Aussagen ihre Ergebnisse tatsächlich erlauben. Die Übungen beginnen bei einer konkreten Sicherheitsanforderung und enden mit einer überprüften Korrektur.

Eine vorbereitete Webanwendung und eine kleine native Parserkomponente dienen als unterschiedliche Prüfziele. Damit werden sowohl Zugriffs- und Geschäftslogikfehler als auch Fehler in der Eingabeverarbeitung betrachtet. Scannerbefunde werden auf Reproduzierbarkeit und fachliche Bedeutung geprüft. Die Veranstaltung ist ein Seminar zur entwicklungsbegleitenden Qualitätssicherung; ein vollständiger Penetrationstest beliebiger Infrastrukturen wird nicht durchgeführt.

Inhalte im Überblick

• Prüfstrategie und Testdesign
• Sicherheitsorientiertes Code-Review
• Statische Analyse und Befundvalidierung
• Dynamische Web- und API-Prüfungen
• Fuzzing und Laufzeitinstrumentierung
• Risikobewertung und Fehlerkorrektur
• Prüfauftrag und nachvollziehbare Abnahme

Zielgruppe

Entwickler, technische Qualitätssicherung, Testautomatisierer, Security Engineers und Security Champions mit Quellcodezugriff.

Voraussetzungen

Programmier- und Testerfahrung, Grundlagen von Webanwendungen, HTTP, Git und Kommandozeilenwerkzeugen. Für den vorbereiteten Parser sind elementare Kenntnisse von C oder C++ hilfreich; ein eigenständiger Aufbau einer nativen Toolchain wird nicht vorausgesetzt.

Seminarinhalte

Prüfstrategie und Testdesign

• Schutzbedarf und Bedrohungsmodell in überprüfbare Testziele überführen.
• Positive, negative und missbrauchsorientierte Testfälle voneinander unterscheiden.
• Erreichbare Prüfziele, Testkonten, Datenbestände und Ressourcenbudgets festlegen.

Sicherheitsorientiertes Code-Review

• Datenflüsse, Berechtigungsprüfungen und sicherheitskritische Schnittstellen gezielt verfolgen.
• Fehlerpfade, Ausnahmebehandlung und Vertrauen in fremde Daten untersuchen.
• Befunde mit Ursache, betroffener Funktion und nachvollziehbarem Nachweis dokumentieren.

Statische Analyse und Befundvalidierung

• SAST-Werkzeuge für Sprache und Framework konfigurieren und relevante Regeln auswählen.
• Meldungen anhand des tatsächlichen Datenflusses überprüfen und Fehlalarme begründet behandeln.
• Baselines, Regeländerungen und maschinenlesbare Berichte kontrolliert verwalten.

Dynamische Web- und API-Prüfungen

• Authentifizierte Prüfungen mit mehreren Rollen in einer isolierten Anwendung durchführen.
• Berechtigungen, Geschäftsabläufe und Sitzungszustände durch gezielte manuelle Tests ergänzen.
• Scanumfang, Anfragegeschwindigkeit und aufbewahrte Prüfdaten kontrollieren.

Fuzzing und Laufzeitinstrumentierung

• Ein vorbereitetes Prüfprogramm instrumentieren und einen passenden Harness verwenden.
• Korpus, Grenzwerte und Laufzeit festlegen; Abstürze und Zeitüberschreitungen unterscheiden.
• Fehlerfälle minimieren, deduplizieren und zur Ursache im Code zurückverfolgen.

Risikobewertung und Fehlerkorrektur

• Ausnutzbarkeit, Erreichbarkeit und fachliche Auswirkung gemeinsam bewerten.
• Korrekturen auf Ursachenbehebung und mögliche Seiteneffekte prüfen.
• Sicherheitstests als dauerhafte Regression in die bestehende Testsuite aufnehmen.

Prüfauftrag und nachvollziehbare Abnahme

• Einen begrenzten Prüfauftrag selbstständig durchführen und seine Abdeckung dokumentieren.
• Bestätigte Befunde, offene Fragen und methodische Grenzen klar trennen.
• Eine behobene Schwachstelle mit Funktions- und Sicherheitstests erneut prüfen.

Praxisübungen

1. Für das Übungsprojekt einen begrenzten Prüfauftrag mit Rollen und Testzielen erstellen.
2. Eine kritische Funktion manuell prüfen und statische Befunde nachvollziehen.
3. Die laufende Anwendung dynamisch testen und einen fachlichen Negativfall ergänzen.
4. Den vorbereiteten Parser fuzzinggestützt prüfen und einen Fehlerfall minimieren.
5. Eine Korrektur prüfen, Regressionstests ergänzen und die erreichte Testabdeckung dokumentieren.

Schulungsumgebung

Vorbereitete Webanwendung mit API, kleiner nativer Parser, IDE, SAST-Werkzeug, Web-Testproxy, Sanitizer und Fuzzing-Werkzeug. Sämtliche Prüfungen laufen gegen ausdrücklich vorgesehene Laborziele.

Seminarauswahl

Zur Übersicht und zu den empfohlenen Lernwegen