Seminar ImmuniWeb Continuous – Continuous Pentesting und BAS

Seminarprofil

Das Seminar behandelt den Aufbau eines dauerhaften Prüfprogramms mit ImmuniWeb Continuous. Anwendungs- und API-Änderungen, kontinuierliche Penetrationstests, interne und cloudbasierte Prüfziele, Breach-and-Attack-Simulation, Alarmierung, Befundsteuerung und Wirksamkeitsnachweise werden in einen kontrollierten Betriebsprozess überführt.

Die angesetzte Dauer von 3 tage ist fachlich erforderlich, weil kontinuierliche Prüfungen neben Produktkonfiguration auch sichere Automatisierung, Änderungserkennung, Angriffsvalidierung, Betriebsprozesse und praktische Störfallkontrolle umfassen.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Continuous-Zielbild und Scope
5. Onboarding und sichere Testkonfiguration
6. Änderungs- und CI/CD-gesteuerte Prüfungen
7. Continuous Pentesting
8. Breach-and-Attack-Simulation und Purple Teaming
9. Betrieb, Kennzahlen und Retesting
10. Praxisübungen

Zielgruppe und Voraussetzungen

Zielgruppe: Security Engineering, DevSecOps, SOC, Purple Teams, Application Security, Cloud Security, IT-Betrieb und technische Service Owner.

Voraussetzungen: Fundierte Kenntnisse zu Web- und API-Sicherheit, Netzwerken und CI/CD; für praktische Übungen werden freigegebene Testsysteme und geeignete Konten benötigt.

Lernziele

• Ein kontinuierliches Prüfprogramm risikobasiert scopen.
• Prüfziele, Zugangsdaten, Zeitfenster und Sicherheitsgrenzen konfigurieren.
• Änderungs- und ereignisgesteuerte Tests in Betriebsabläufe integrieren.
• BAS- und Pentest-Ergebnisse gemeinsam priorisieren.
• Wirksamkeit von Prävention, Detektion und Behebung laufend nachweisen.

Seminarinhalte

1. Continuous-Zielbild und Scope

Kontinuität bedeutet nicht, jedes System jederzeit mit maximaler Intensität zu testen.

1. Geschäftskritische Anwendungen, APIs, interne Systeme und Cloud-Ziele klassifizieren.
2. Prüfart und Frequenz nach Risiko und Änderungsrate festlegen.
3. Zulässige Testtechniken, Wartungsfenster und Abbruchkriterien definieren.
4. Owner, Eskalationskanäle und Notfallverfahren hinterlegen.

2. Onboarding und sichere Testkonfiguration

Der technische Start wird kontrolliert und reproduzierbar vorbereitet.

1. Zielsysteme und technische Abhängigkeiten registrieren.
2. Authentisierte Zugänge nach Minimalprinzip einrichten.
3. Quell-IP-Freigaben, Schutzsysteme und Testkennzeichnung abstimmen.
4. Basistest ausführen und Systemstabilität sowie Abdeckung prüfen.

3. Änderungs- und CI/CD-gesteuerte Prüfungen

Tests werden an reale Änderungsereignisse gekoppelt.

1. Relevante Code-, Deployment- und Konfigurationsereignisse bestimmen.
2. Trigger, Scanprofile und Qualitätsgates festlegen.
3. Fehlerbehandlung bei nicht erreichbaren oder unvollständigen Tests definieren.
4. Ergebnisse automatisiert an verantwortliche Teams übergeben.

4. Continuous Pentesting

Automatisierung wird durch gezielte manuelle und risikobasierte Prüfungen ergänzt.

1. Testhypothesen aus neuen Funktionen und Bedrohungen ableiten.
2. Authentisierte Anwendungspfade und Geschäftslogik prüfen.
3. Angriffsketten über Anwendung, API, Identität und Infrastruktur untersuchen.
4. Kritische Befunde mit belastbarer Evidenz und Sofortmeldung dokumentieren.

5. Breach-and-Attack-Simulation und Purple Teaming

Kontrollierte Angriffssimulationen messen die Wirksamkeit vorhandener Kontrollen.

1. Angriffstechniken und erwartete Detektionspunkte auswählen.
2. Simulation in abgestuften Szenarien ausführen.
3. Telemetry, Alarme und Reaktionen des SOC gegen die Erwartung vergleichen.
4. Präventions- und Detektionslücken in konkrete Verbesserungsaufgaben überführen.

6. Betrieb, Kennzahlen und Retesting

Ein kontinuierliches Programm benötigt klare Qualitäts- und Erfolgsmaße.

1. Abdeckung, Testfrequenz, Fehlerrate und Befundalter messen.
2. Regressionen und wiederkehrende Ursachen gesondert behandeln.
3. Retests automatisieren und manuelle Bestätigung für kritische Befunde vorsehen.
4. Management-Berichte auf Risikoreduktion und Kontrollwirksamkeit ausrichten.

Praxisübungen

• Entwurf eines risikobasierten Continuous-Scopes.
• Konfiguration eines sicheren Änderungs- und Testablaufs.
• Planung eines BAS-Szenarios mit erwarteten Detektionspunkten.
• Aufbau eines Betriebsdashboards mit Qualitäts- und Risikokennzahlen.

Im Rahmen der Übungen entsteht ein betriebsfähiges Continuous-Testkonzept mit Scope, Triggern, Sicherheitsgrenzen, Eskalationen, BAS-Szenarien und Kennzahlen.