Seminar MobSF Regelentwicklung und SAST-Anpassung

Seminarprofil

Der Kurs richtet sich an Teams, die MobSF- und mobsfscan-Regeln verstehen, qualifizieren und an eigene mobile Entwicklungsstandards anpassen müssen. Von der Analyse vorhandener Regeln über positive und negative Testfälle bis zur Entwicklung, Performanceprüfung und kontrollierten Einführung eigener Muster entsteht ein wartbarer Regelprozess. Behandelt werden Android- und iOS-Quellcode sowie die Grenzen rein musterbasierter Erkennung.

Inhaltsübersicht

• Regelmodell und Erkennungsgrenzen
• Vorhandene Regeln analysieren
• Testkorpus und Qualitätskriterien
• Eigene Android-Regeln
• Eigene iOS-Regeln
• Governance und Einführung

Lernziele

• Aufbau und Wirkungsweise mobiler SAST-Regeln nachvollziehen
• Regeln mit repräsentativen Positiv-, Negativ- und Grenztests qualifizieren
• eigene Android- und iOS-Regeln mit klarer Beschreibung und sicherer Priorität entwickeln
• Regeländerungen versionieren, ausrollen und auf False Positives sowie Laufzeit überwachen

Seminarinhalte

Modul 1: Regelmodell und Erkennungsgrenzen

1. Schritt 1: Manifest-, Quellcode-, Binär- und Konfigurationsprüfungen voneinander abgrenzen.
2. Schritt 2: Semantische Suche, Pattern Matching und kontextbezogene Bedingungen vergleichen.
3. Schritt 3: Quelle, Senke, Sprachkonstrukt und Framework-Konvention als Regelmerkmale erfassen.
4. Schritt 4: Grenzen bei Reflection, generiertem Code, Obfuskation und dynamischem Verhalten dokumentieren.

Modul 2: Vorhandene Regeln analysieren

1. Schritt 1: Regelkennung, Plattform, Schweregrad, Beschreibung und Referenztext auf Konsistenz prüfen.
2. Schritt 2: Suchmuster und Ausschlüsse anhand kleiner Codebeispiele nachvollziehen.
3. Schritt 3: Echte Treffer, False Positives und False Negatives kategorisieren.
4. Schritt 4: Verbesserungsbedarf nach Präzision, Abdeckung und Verständlichkeit priorisieren.

Modul 3: Testkorpus und Qualitätskriterien

1. Schritt 1: Minimalen positiven Test mit eindeutig unsicherem Muster erstellen.
2. Schritt 2: Sichere Gegenbeispiele und sprachspezifische Varianten ergänzen.
3. Schritt 3: Reale Framework- und Projektstrukturen als Grenzfälle aufnehmen.
4. Schritt 4: Erwartete Treffer, Laufzeit und zulässige Fehlalarmquote festlegen.

Modul 4: Eigene Android-Regeln

1. Schritt 1: Ein konkretes Java-, Kotlin- oder Android-XML-Risiko fachlich beschreiben.
2. Schritt 2: Suchmuster, Metadaten, Schwere und Abhilfe implementieren.
3. Schritt 3: Regel gegen Testkorpus und ausgewählten Beispielcode ausführen.
4. Schritt 4: Muster verfeinern, Ausschlüsse begründen und Regressionstest erstellen.

Modul 5: Eigene iOS-Regeln

1. Schritt 1: Unsicheres Swift- oder Objective-C-Muster und sicheren Gegenentwurf bestimmen.
2. Schritt 2: Sprach- und Frameworkvarianten in das Regelkonzept einbeziehen.
3. Schritt 3: Regel implementieren und Trefferkontext auf Entwicklerverständlichkeit prüfen.
4. Schritt 4: False Positives, Performance und Plattformzuordnung iterativ verbessern.

Modul 6: Governance und Einführung

1. Schritt 1: Regeln versionieren und Änderungen mit fachlichem Review verbinden.
2. Schritt 2: Neue Regeln zunächst beobachtend und anschließend als Quality Gate ausrollen.
3. Schritt 3: Suppression, Ausnahme und Ablaufdatum im Regelprozess berücksichtigen.
4. Schritt 4: Trefferqualität, Scanzeit und Wartungsbedarf regelmäßig auswerten.

Praxisübungen

• Reverse Engineering einer vorhandenen Android- und iOS-Regel
• Entwicklung je einer eigenen Regel mit Positiv- und Negativtests
• Aufbau eines kleinen Regel-Release-Prozesses mit Qualitätsschwellen

Zielgruppe

AppSec Engineers, SAST-Verantwortliche, Security Tooling Teams und erfahrene Android- oder iOS-Entwickler.

Vorkenntnisse

Gute Kenntnisse in Java/Kotlin oder Swift/Objective-C, grundlegende SAST-Erfahrung und sicherer Umgang mit Versionsverwaltung und Tests.