Seminar OWASP ZAP – Grundlagen, Installation und sicherer Einstieg

ZAP verbindet manipulierenden Proxy, manuelle Testwerkzeuge, Discovery und automatisierte Scanner. Ein sicherer Einstieg erfordert deshalb mehr als die Bedienung des Quick-Start-Dialogs.

Die Schulung baut eine vollständige Laborumgebung auf und führt jeden Schritt von der ersten Browseranfrage bis zum validierten Befund kontrolliert durch.

Inhaltsübersicht

1. Seminarziel und Arbeitsweise
2. Installation und Grundkonfiguration
3. Oberfläche, Sessions und Modi
4. Proxy, Browser und Zertifikate
5. Context und Scope anlegen
6. Anwendung erkunden und passiv prüfen
7. Kontrollierten Active Scan ausführen
8. Befunde prüfen und Bericht erzeugen
9. Praxisübungen und Arbeitsaufträge
10. Zielgruppe, Voraussetzungen und Arbeitsumgebung

Seminarziel

ZAP sicher installieren und bedienen, eine Testanwendung sauber abgrenzen, Verkehr untersuchen und einen grundlegenden passiven sowie aktiven Sicherheitstest nachvollziehbar ausführen.

Arbeitsweise

Vortrag, Demonstrationen und praktische Übungen werden in kurzen Arbeitszyklen verbunden. Jeder Themenblock beginnt mit einem klar abgegrenzten Testziel, führt über die Konfiguration und Durchführung zur fachlichen Prüfung und endet mit dokumentierten Kontrollpunkten. Belastende oder angreifende Funktionen werden ausschließlich in ausdrücklich freigegebenen Labor- und Zielumgebungen eingesetzt.

Schrittweise Seminarinhalte

1. Installation und Grundkonfiguration

ZAP wird in einem isolierten Profil eingerichtet und der Funktionsumfang über Add-ons kontrolliert.

1. Geeignetes Installationspaket und Java-Laufzeit prüfen.
2. Eigenes ZAP-Profil und Arbeitsverzeichnis anlegen.
3. Updates und Standard-Add-ons kontrollieren.
4. Laborziel und Sicherheitsregeln dokumentieren.

Kontrollpunkte: Installation verwendet ein getrenntes Testprofil; nur freigegebene Ziele sind vorgesehen.

2. Oberfläche, Sessions und Modi

Sites Tree, History, Request, Response, Alerts und Ausgabebereiche bilden die zentrale Arbeitsoberfläche.

1. Neue Session anlegen und benennen.
2. Wichtige Tabs und Filter verwenden.
3. Safe, Protected, Standard und Attack Mode unterscheiden.
4. Session persistieren und kontrolliert schließen.

Kontrollpunkte: Arbeitsmodus ist jederzeit erkennbar; Sessiondaten liegen im vorgesehenen Verzeichnis.

3. Proxy, Browser und Zertifikate

ZAP sitzt als manipulierender Proxy zwischen Browser und Anwendung und muss HTTPS-Verkehr vertrauenswürdig entschlüsseln können.

1. ZAP-Browser aus der Anwendung starten.
2. Manuelle Proxykonfiguration als Alternative nachvollziehen.
3. Lokale ZAP-Zertifizierungsstelle nur im Testprofil vertrauen.
4. Request- und Responsefluss in History beobachten.

Kontrollpunkte: Privater Alltagsbrowser bleibt unverändert; HTTPS-Fehler werden nicht durch unsichere globale Ausnahmen umgangen.

4. Context und Scope anlegen

Der Testbereich wird über Context, Include- und Exclude-Regeln begrenzt.

1. Zielknoten in einen neuen Context aufnehmen.
2. Basispfad und erlaubte Hosts präzisieren.
3. Fremd- und Logoutbereiche ausschließen.
4. Protected Mode aktivieren und Scopeanzeige prüfen.

Kontrollpunkte: Out-of-Scope-Ziele sind blockiert; wichtige Anwendungsbereiche bleiben erreichbar.

5. Anwendung erkunden und passiv prüfen

Manuelle Navigation und Spider füllen den Sites Tree; der Passive Scanner analysiert den beobachteten Verkehr.

1. Kernprozess manuell über den Proxy bedienen.
2. Traditionellen Spider im Context starten.
3. Passive Scan Queue bis zum Abschluss beobachten.
4. Alerts nach Risiko, Confidence und Evidenz sortieren.

Kontrollpunkte: Discovery bleibt innerhalb des Scopes; passive Befunde werden mit Originalrequest verknüpft.

6. Kontrollierten Active Scan ausführen

Ein begrenzter Active Scan zeigt Arbeitsweise und Risiken automatischer Angriffsrequests.

1. Freigegebenen Unterbereich auswählen.
2. Kleine Scan Policy mit niedriger Belastung verwenden.
3. Fortschritt und Zielreaktion überwachen.
4. Scan bei unerwartetem Verhalten stoppen und analysieren.

Kontrollpunkte: Aktiver Scan läuft ausschließlich gegen das Laborziel; Requestvolumen bleibt nachvollziehbar.

7. Befunde prüfen und Bericht erzeugen

Alerts werden nicht ungeprüft übernommen. Reproduzierbarkeit und tatsächliche Auswirkung entscheiden über die Bewertung.

1. Evidenz und betroffenen Parameter identifizieren.
2. Verdacht mit manuellem Request und Gegenprobe prüfen.
3. Risiko und Confidence begründet anpassen.
4. Bereinigten Bericht mit notwendigen Details erzeugen.

Kontrollpunkte: Mindestens ein Befund ist manuell verifiziert; Bericht enthält keine unnötigen Sitzungsgeheimnisse.

Praxisübungen und Arbeitsaufträge

• Installation und Einrichtung eines isolierten ZAP-Profils
• Proxy- und Zertifikatskonfiguration in einem Testbrowser
• Aufbau eines Contexts mit Protected Mode
• Manuelle Exploration, Spider und passive Analyse
• Kleiner aktiver Scan mit anschließender Befundvalidierung

Zielgruppe

Einsteiger in Websicherheit, Entwickler, Qualitätssicherung, Administratoren und angehende Penetration Tester

Voraussetzungen

Grundkenntnisse in Webanwendungen und HTTP sind hilfreich; praktische Security- oder ZAP-Erfahrung ist nicht erforderlich

Arbeitsumgebung

Verwendet werden eine isolierte ZAP-Installation oder ein geeigneter Container, ein getrenntes Browserprofil, eine ausdrücklich freigegebene Laboranwendung, vorbereitete Testkonten und versionskontrollierbare Konfigurationsdateien. Produktive Ziele, persönliche Konten und nicht genehmigte Drittsysteme sind ausgeschlossen.