Seminar UBIKA – OWASP API Security Top 10 in der Praxis

API-Risiken entstehen häufig durch fehlende objektbezogene Berechtigungen, unkontrollierte Geschäftsflüsse, Ressourcenverbrauch und unvollständige Bestände. Das Seminar übersetzt die OWASP-API-Risikoklassen in konkrete Tests, UBIKA-Kontrollen und ergänzende Anforderungen an die Anwendung.

Inhaltsverzeichnis

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
4. Praxisaufgaben
5. Zielgruppe und Voraussetzungen

Seminarprofil

Die Schulung kombiniert fachliche Einordnung, geführte Konfiguration, reproduzierbare Tests und betriebliche Dokumentation. Jede Änderung wird zuerst in ihrem Datenfluss und Risikokontext bewertet, danach in einer Laborumgebung umgesetzt und abschließend mit Positiv-, Negativ- und Rückfalltests geprüft.

Lernziele

• Die fachlichen und technischen Anforderungen zu API-Inventar und Exposition strukturiert analysieren und priorisieren.
• Die UBIKA-Konfiguration für Objektbezogene Autorisierung und Authentisierung und Tokenfehler nachvollziehbar aufbauen.
• Funktions-, Negativ-, Last- und Fehlerfälle mit eindeutigen Abnahmekriterien prüfen.
• Änderungen, Ausnahmen und Betriebsentscheidungen versionierbar und revisionsfähig dokumentieren.
• Monitoring, Freigabe, Rollback und Verantwortlichkeiten in einen belastbaren Betriebsprozess überführen.

Schrittweise Seminarinhalte

Modul 1: API-Inventar und Exposition

1. Schritt 1 – Analysieren: Für Hosts, Versionen, Operationen, Methoden, Verbraucher, Schatten-APIs, Altversionen, Owner und Lebenszyklus werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 2: Objektbezogene Autorisierung

1. Schritt 1 – Analysieren: Für Objektkennungen, Mandantenbezug, Benutzerkontext, BOLA-Tests und Grenze zur Anwendungskontrolle werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 3: Authentisierung und Tokenfehler

1. Schritt 1 – Analysieren: Für Signatur, Ablauf, Audience, Issuer, Replay, Fehlermeldungen und manipulierte oder fehlende Token werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 4: Property- und Funktionsautorisierung

1. Schritt 1 – Analysieren: Für unerwartete Felder, Mass Assignment, privilegierte Methoden, OpenAPI-Schema und Funktionsgrenzen werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 5: Ressourcenverbrauch

1. Schritt 1 – Analysieren: Für Request-Größe, Verschachtelung, Paging, teure Filter, Dateioperationen, Frequenz und identitätsbezogene Limits werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 6: Missbrauch sensibler Geschäftsflüsse

1. Schritt 1 – Analysieren: Für Registrierung, Bestellung, Coupon, Passwortreset, automatisierte Sequenzen und fachliche Schutzsignale werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 7: SSRF und Backend-Ziele

1. Schritt 1 – Analysieren: Für benutzerkontrollierte URLs, Webhooks, Import, interne Zielräume, Host- und Schemaeinschränkung werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 8: Fehlkonfiguration und unsicherer Drittbezug

1. Schritt 1 – Analysieren: Für CORS, Debug-Endpunkte, Methoden, Fehlerdetails, TLS und ungeprüfte Fremdantworten werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 9: Logging, Tests und Lifecycle

1. Schritt 1 – Analysieren: Für Identitäten, Objekte, Entscheidungen, neue Versionen, Testkatalog, Monitoring und Inventaraktualisierung werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Praxisaufgaben

1. Einen vollständigen Praxisfall zu API-Inventar und Exposition bearbeiten: Hosts, Versionen, Operationen, Methoden, Verbraucher, Schatten-APIs, Altversionen, Owner und Lebenszyklus aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
2. Einen vollständigen Praxisfall zu Objektbezogene Autorisierung bearbeiten: Objektkennungen, Mandantenbezug, Benutzerkontext, BOLA-Tests und Grenze zur Anwendungskontrolle aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
3. Einen vollständigen Praxisfall zu Authentisierung und Tokenfehler bearbeiten: Signatur, Ablauf, Audience, Issuer, Replay, Fehlermeldungen und manipulierte oder fehlende Token aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
4. Einen vollständigen Praxisfall zu Property- und Funktionsautorisierung bearbeiten: unerwartete Felder, Mass Assignment, privilegierte Methoden, OpenAPI-Schema und Funktionsgrenzen aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
5. Einen vollständigen Praxisfall zu Ressourcenverbrauch bearbeiten: Request-Größe, Verschachtelung, Paging, teure Filter, Dateioperationen, Frequenz und identitätsbezogene Limits aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Application Security, API-Entwicklung, API-Architektur, DevSecOps, UBIKA-Administration, Penetrationstest und technische Produktverantwortliche.

Voraussetzungen: Gute HTTP- und REST-Grundlagen sowie Verständnis von Authentisierung, JSON und typischen API-Geschäftsprozessen.