Seminar Probely DAST-Grundlagen und sicherer Einstieg

Dynamische Anwendungstests liefern nur dann brauchbare Ergebnisse, wenn Ziel, Freigabe, Scanprofil und Auswertung zusammenpassen. Der Kurs schafft eine belastbare Arbeitsgrundlage und führt ohne unnötige Produktbreite durch den vollständigen Weg vom freigegebenen Testziel bis zur dokumentierten Nachprüfung.

Inhaltsübersicht

• Nutzen und Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Einordnung im Lernpfad

Nutzen und Lernziele

• DAST fachlich einordnen und Grenzen gegenüber anderen Prüfverfahren verstehen
• Web- und API-Ziele kontrolliert anlegen, verifizieren und beschreiben
• Ein geeignetes Standardprofil für einen sicheren Erstscan auswählen
• Scope und technische Sicherheitsgrenzen vor dem Scan prüfen
• Findings lesen, priorisieren, zuweisen und gezielt erneut testen
• Einen wiederholbaren Mindestprozess für den Regelbetrieb formulieren

Zielgruppe

Einsteiger in Application Security, Entwickler, Tester, Administratoren, DevSecOps-Teams, technische Projektleiter und Sicherheitsverantwortliche

Voraussetzungen

Allgemeine Kenntnisse zu Webanwendungen, URLs und HTTP sind hilfreich. Programmierung ist nicht erforderlich. Für Übungen wird eine isolierte oder ausdrücklich freigegebene Testanwendung benötigt.

Seminarinhalte

Modul 1: DAST einordnen und Prüfziele formulieren

1. Unterschied zwischen dynamischer Prüfung, Quellcodeanalyse und manueller Sicherheitsprüfung klären
2. Erwartete Aussagen und bewusst nicht abgedeckte Bereiche festhalten
3. Anwendung, Umgebung, Eigentümer und Schutzbedarf erfassen
4. Prüfauftrag, Zeitfenster und Abbruchkriterien vor Arbeitsbeginn dokumentieren

Modul 2: Oberfläche, Organisation und Navigation

1. Organisation, Teams, Ziele, Scans und Findings als getrennte Objekte einordnen
2. Ansichten, Filter und Suchmöglichkeiten für den täglichen Betrieb nutzen
3. Zuständigkeiten und typische Rollen im Labor zuordnen
4. Änderungen zunächst an einem Testziel statt an produktiven Zielen durchführen

Modul 3: Erstes Webziel anlegen

1. Korrekte Basis-URL und erwartetes Protokoll bestimmen
2. Name, Umgebung, Eigentümer und Labels nach Konvention vergeben
3. Zielverifikation mit dem vorgesehenen Verfahren durchführen
4. Erreichbarkeit und Weiterleitungen vor dem Scan kontrollieren

Modul 4: API-Ziel im Überblick

1. API-Basisadresse und vorhandene Definitionen erfassen
2. OpenAPI, Postman Collection oder GraphQL als möglichen Definitionsweg unterscheiden
3. Authentifizierungsbedarf und schreibende Operationen markieren
4. Für den Einstieg einen kleinen, ungefährlichen API-Bereich auswählen

Modul 5: Scanprofile auswählen

1. Zweck und Intensität der Profile Lightning, Safe, Normal und Full vergleichen
2. Technische Empfindlichkeit und erlaubte Prüfzeit des Ziels berücksichtigen
3. Für den Erstscan ein angemessen begrenztes Profil festlegen
4. Profilentscheidung und erwartete Laufzeit dokumentieren

Modul 6: Scope und Sicherheitsgrenzen

1. Erlaubte Hosts, Pfade und Funktionen festlegen
2. Externe Systeme, Logout, Datenlöschung und andere kritische Bereiche identifizieren
3. Seeds und Ausschlüsse für eine kontrollierte Navigation planen
4. Abbruchweg und Ansprechpartner während des Scans bereithalten

Modul 7: Scan starten und überwachen

1. Zielzustand, Freigabe, Profil und Zeitfenster unmittelbar vor dem Start prüfen
2. Scan auslösen und Startzeit sowie verantwortliche Person dokumentieren
3. Status, Laufzeit und Anwendungsauswirkungen beobachten
4. Bei Auffälligkeiten kontrolliert abbrechen und Ursache vor einem Neustart klären

Modul 8: Findings lesen und bearbeiten

1. Schwachstellentyp, betroffenen Endpunkt, Evidenz und Schweregrad erfassen
2. Finding-Zustand, Verantwortlichen, Label und Notiz sinnvoll setzen
3. Technische Aussage gegen den tatsächlichen Anwendungskontext prüfen
4. Reproduktion und Übergabe an das zuständige Team dokumentieren

Modul 9: Nachprüfung und Mindestprozess

1. Behobenes Finding gezielt erneut testen
2. Ergebnis und verbleibende Risiken nachvollziehbar festhalten
3. Regelmäßigen Scanrhythmus und Zuständigkeit definieren
4. Einen kurzen Betriebsstandard für Zielanlage, Scan, Triage und Abschluss erstellen

Praxisübungen

• Anlage und Verifikation eines Trainingsziels
• Auswahl und Begründung eines geeigneten Erstscanprofils
• Definition eines kleinen Scopes mit Ausschlüssen
• Durchführung und Überwachung eines ersten Scans
• Strukturierte Bearbeitung eines Findings vom Eingang bis zum Retest
• Erstellung einer Mindestcheckliste für sichere DAST-Prüfungen

Einordnung im Lernpfad

Startseminar für alle Rollen ohne belastbare Probely-Erfahrung. Danach folgt je nach Aufgabe eine Web- oder API-Vertiefung, Authentifizierung, Scansteuerung, Findings oder Administration.