Seminar OWASP ZAP – Intensivseminar Automatisierung, CI/CD und Betrieb

Das Intensivformat fasst alle für automatisierten und betrieblichen ZAP-Einsatz relevanten Einzelthemen in einem zusammenhängenden Laborprojekt zusammen. Ausgangspunkt ist eine manuelle Referenzprüfung, Ziel ist eine versionierte, authentifizierte und überwachte Pipeline.

Jede Automationsstufe wird zunächst transparent ausgeführt, anschließend in YAML, Container und Pipeline überführt und zuletzt mit Betriebs- und Diagnoseverfahren abgesichert.

Inhaltsübersicht

1. Seminarziel und Arbeitsweise
2. Referenztest und Automationsanforderungen
3. Automation-Framework-Basis
4. Authentifizierung und Benutzer im Plan
5. Scan Policies, Tests und Exit-Status
6. Docker und Packaged Scans
7. ZAP API und Orchestrierung
8. CI/CD-Pipeline und Quality Gates
9. Berichte, Befundfluss und Datenschutz
10. Betrieb, Updates und Ressourcen
11. Fehlerdiagnose und Abschlussprüfung
12. Praxisübungen und Arbeitsaufträge
13. Zielgruppe, Voraussetzungen und Arbeitsumgebung

Seminarziel

Eine vollständige ZAP-Automationsplattform vom Testmodell über YAML und Container bis zu Quality Gates, Berichten, Betriebsstandard und Störungsdiagnose entwerfen und praktisch betreiben.

Arbeitsweise

Vortrag, Demonstrationen und praktische Übungen werden in kurzen Arbeitszyklen verbunden. Jeder Themenblock beginnt mit einem klar abgegrenzten Testziel, führt über die Konfiguration und Durchführung zur fachlichen Prüfung und endet mit dokumentierten Kontrollpunkten. Belastende oder angreifende Funktionen werden ausschließlich in ausdrücklich freigegebenen Labor- und Zielumgebungen eingesetzt.

Schrittweise Seminarinhalte

1. Referenztest und Automationsanforderungen

Ein manueller Referenzlauf schafft Vergleichswerte für Scope, Coverage, Authentifizierung, Laufzeit und Befunde.

1. Zielanwendung, Rollen und Freigabegrenzen erfassen.
2. Context, Discovery und kleine Scan Policy manuell ausführen.
3. Erwartete Alerts und technische Erfolgsbedingungen dokumentieren.
4. Automationsstufen für Commit, Nightly und Release ableiten.

Kontrollpunkte: Automatisierung besitzt eine geprüfte manuelle Referenz; Ziele und Nichtziele sind schriftlich abgegrenzt.

2. Automation-Framework-Basis

Environment, Contexts, Variablen und erste Jobs werden in einem validierbaren YAML-Plan modelliert.

1. Minimalplan und Laufzeitparameter erstellen.
2. Ziele und Include- beziehungsweise Exclude-Regeln übernehmen.
3. Traditionellen und Client Spider konfigurieren.
4. Passive Verarbeitung und ersten Bericht einbinden.

Kontrollpunkte: Plan reproduziert die vereinbarte Discovery; Jobreihenfolge ist nachvollziehbar.

3. Authentifizierung und Benutzer im Plan

Form-, JSON-, HTTP- oder skriptbasierte Anmeldung wird mit Verifikationsstrategie und Testbenutzern integriert.

1. Loginfluss und Session-Methode analysieren.
2. Credentials aus dem Plan auslagern.
3. Benutzer und Logged-in-Indikatoren konfigurieren.
4. Authentifizierten Discovery- und Scanlauf wiederholen.

Kontrollpunkte: Lauf erkennt abgelaufene Anmeldung; Secrets erscheinen weder in Plan noch Report.

4. Scan Policies, Tests und Exit-Status

Aktive Regeln, Thresholds, Strength und Gate-Kriterien werden deklarativ und risikobasiert gepflegt.

1. Policy für schnellen und tiefen Scan erstellen.
2. Passive und aktive Jobtests definieren.
3. Alert Filter mit Eigentümer und Ablaufdatum abbilden.
4. Exit-Status für Erfolg, Warnung und Fehler testen.

Kontrollpunkte: Quality Gate ist fachlich begründet; Ausnahmen verdecken keine neuen Befunde.

5. Docker und Packaged Scans

Der Plan und alternative Baseline-, Full- und API-Scans werden in versionierten Containerläufen ausgeführt.

1. Image, Netzwerk und Dateirechte festlegen.
2. Konfiguration und Berichte über kontrollierte Volumes austauschen.
3. Packaged Scans mit dem YAML-Ansatz vergleichen.
4. Browserabhängige Jobs und Ressourcenlimits prüfen.

Kontrollpunkte: Containerlauf ist lokal und im Runner reproduzierbar; aktive Scanarten sind an Freigabe gekoppelt.

6. ZAP API und Orchestrierung

Die API ergänzt YAML dort, wo externe Systeme Sitzungen, Jobs oder Artefakte dynamisch steuern müssen.

1. API-Zugriff mit Schlüssel und erlaubten Adressen absichern.
2. Status, Aktionen und asynchrone Scan-IDs verarbeiten.
3. Context, Spider und Bericht programmgesteuert anstoßen.
4. Fehler, Timeout und geordnetes Beenden implementieren.

Kontrollpunkte: API ist nicht offen im Netz erreichbar; Orchestrator unterscheidet Fachfehler und Infrastrukturfehler.

7. CI/CD-Pipeline und Quality Gates

Container und Plan werden in eine gestufte Pipeline mit Testumgebung, Secrets und Artefakten eingebunden.

1. Readiness und Testdatenaufbau vor ZAP ausführen.
2. Schnelle und tiefe Scanstufen trennen.
3. Gate-Ergebnis auf Pipelinezustände abbilden.
4. Berichte mit Build, Commit, Ziel und Policy kennzeichnen.

Kontrollpunkte: Pipeline scannt nur bereite Testsysteme; jeder Befund ist einem exakten Lauf zugeordnet.

8. Berichte, Befundfluss und Datenschutz

Maschinenlesbare und lesbare Berichte werden minimiert, klassifiziert und in den Bearbeitungsprozess übergeben.

1. Erforderliche Reportformate auswählen.
2. Request- und Responseinhalte auf Evidenz reduzieren.
3. Artefaktzugriff und Aufbewahrung festlegen.
4. Ticket- und Ausnahmeprozess mit Verantwortlichkeit verbinden.

Kontrollpunkte: Berichte enthalten keine unnötigen Secrets; Ausnahmen besitzen Reviewdatum.

9. Betrieb, Updates und Ressourcen

Produktiver ZAP-Betrieb benötigt Profile, Add-on-Inventar, Updateverfahren und Messwerte.

1. Installations- und Datenpfade standardisieren.
2. Core- und Add-on-Updates im Testprofil prüfen.
3. Speicher, CPU, Queue und Laufzeit beobachten.
4. Backup, Löschung und Wiederanlauf für Sessions und Konfigurationen testen.

Kontrollpunkte: Update ist rückfallfähig; Ressourcenlimits führen nicht zu stiller Unvollständigkeit.

10. Fehlerdiagnose und Abschlussprüfung

Netzwerk, Zertifikate, Browser, Authentifizierung, Regeln und Pipeline werden mit einer festen Diagnosefolge geprüft.

1. Fehler gezielt in einzelnen Schichten erzeugen.
2. Logs und Statuswerte korrelieren.
3. Diagnosepaket ohne sensible Daten erstellen.
4. Gesamtlauf aus frischer Umgebung als Abnahme ausführen.

Kontrollpunkte: Ursachen lassen sich einer Schicht zuordnen; Abnahmelauf benötigt keine persönlichen Einstellungen.

Praxisübungen und Arbeitsaufträge

• Durchgängiges Projekt von der manuellen Referenz bis zur Pipeline
• Authentifizierter YAML-Plan mit Client Spider und Scan Policy
• Versionierter Dockerlauf mit sicheren Volumes und Ressourcenlimits
• Risikobasiertes Quality Gate mit definiertem Exit-Status
• API-gesteuerte Orchestrierung und Reportübergabe
• Betriebs-, Update- und Diagnosehandbuch für den fertigen Scanprozess

Zielgruppe

DevSecOps Engineers, Application-Security-Teams, Plattform- und Buildverantwortliche sowie erfahrene ZAP-Anwender mit Automatisierungsauftrag

Voraussetzungen

Sichere ZAP-Grundlagen, YAML-, Docker- und Kommandozeilenkenntnisse sowie Verständnis von CI/CD und Webanwendungen

Arbeitsumgebung

Verwendet werden eine isolierte ZAP-Installation oder ein geeigneter Container, ein getrenntes Browserprofil, eine ausdrücklich freigegebene Laboranwendung, vorbereitete Testkonten und versionskontrollierbare Konfigurationsdateien. Produktive Ziele, persönliche Konten und nicht genehmigte Drittsysteme sind ausgeschlossen.