Seminar Probely Kompaktseminar – Web- und API-Scanning im Überblick

Der Kompaktkurs richtet sich an Teams, die in kurzer Zeit eine belastbare gemeinsame Arbeitsgrundlage benötigen. Er bündelt die wichtigsten Schritte für Web- und API-Scanning, ohne die Spezialtiefe der einzelnen Vertiefungsseminare vollständig vorwegzunehmen.

Inhaltsübersicht

• Nutzen und Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Einordnung im Lernpfad

Nutzen und Lernziele

• Probely und DAST sicher einordnen und ein Testziel freigegeben vorbereiten
• Web- und API-Ziele einschließlich grundlegender Authentifizierung konfigurieren
• Scanprofil und Scope für einen stabilen Erstscan auswählen
• Findings prüfen, zuweisen, nachverfolgen und erneut testen
• Technische und managementgerechte Ergebnisse unterscheiden
• Nächste Schritte für CI/CD, Automatisierung oder Enterprise-Betrieb planen

Zielgruppe

Gemischte Projektteams, AppSec-Einsteiger, Entwickler, Tester, Administratoren, DevSecOps, technische Entscheider und Security Champions mit begrenztem Zeitbudget

Voraussetzungen

Allgemeine Kenntnisse zu Webanwendungen und APIs. Für die Übungen werden eine isolierte Webanwendung, eine kleine Test-API und passende Testkonten benötigt.

Seminarinhalte

Modul 1: DAST, Einsatzbereich und Freigabe

1. Dynamische Prüfung gegenüber Quellcodeanalyse und manueller Prüfung abgrenzen
2. Anwendung, API, Umgebung und Eigentümer erfassen
3. Erlaubten Scope, Zeitfenster und Abbruchkriterien festlegen
4. Testdaten und Ansprechpartner vor dem ersten Scan bereitstellen

Modul 2: Webziel anlegen und verifizieren

1. Basis-URL, Protokoll und Weiterleitungen prüfen
2. Ziel mit Umgebung, Eigentümer und Labels anlegen
3. Verifikation durchführen und Erreichbarkeit bestätigen
4. Kleine Navigation mit Seeds und Ausschlüssen vorbereiten

Modul 3: API-Ziel im Kompaktverfahren

1. OpenAPI-Dokument oder Postman Collection auf Testtauglichkeit prüfen
2. Produktive Adressen und eingebettete Geheimnisse entfernen
3. API-Ziel mit begrenztem Endpunktumfang anlegen
4. Ersten Request und die Endpunktabdeckung kontrollieren

Modul 4: Grundlegende Authentifizierung

1. Formularlogin, Token, Header oder Cookie als passenden Weg auswählen
2. Technisches Testkonto und sichere Geheimnisablage vorbereiten
3. Anmeldung anhand eines geschützten Merkmals verifizieren
4. Sitzungsablauf oder Tokenablauf als Fehlerfall testen

Modul 5: Scanprofil und Scope

1. Lightning, Safe, Normal und Full nach Zweck vergleichen
2. Für den Erstscan ein angemessenes Profil auswählen
3. Erlaubte Hosts und Pfade festlegen sowie kritische Bereiche ausschließen
4. Entscheidung und erwartete Laufzeit kurz dokumentieren

Modul 6: Scan ausführen und stabilisieren

1. Freigabe, Zielzustand und Testdaten unmittelbar vor Start prüfen
2. Scan auslösen und Laufzeit sowie Anwendungsauswirkung beobachten
3. Erreichbarkeits-, Authentifizierungs- und Scopefehler unterscheiden
4. Korrektur mit kleinem Test bestätigen und erst dann erneut vollständig scannen

Modul 7: Findings und Retest

1. Evidenz, Endpoint, Payload und Schweregrad lesen
2. Finding mit ungefährlichen Daten reproduzieren
3. Verantwortlichen, Zustand, Label und Notiz setzen
4. Korrektur gezielt erneut testen und Ergebnis dokumentieren

Modul 8: Reporting und weitere Automatisierung

1. Berichtszielgruppe und benötigte Detailtiefe bestimmen
2. Scope, Zeitpunkt, Ergebnisse und Einschränkungen zusammenstellen
3. Regelmäßigen Scanrhythmus und Verantwortlichkeit festlegen
4. CI/CD, API, CLI und Ticketing als mögliche nächste Ausbaustufen einordnen

Praxisübungen

• Anlage eines Webziels und eines kleinen API-Ziels
• Konfiguration einer einfachen Authentifizierung
• Auswahl eines sicheren Erstscanprofils mit begrenztem Scope
• Durchführung und Stabilisierung eines Scans
• Bearbeitung eines Findings bis zum Retest
• Erstellung eines persönlichen Lern- und Ausbauplans für die eigene Rolle

Einordnung im Lernpfad

Alternative zum zweitägigen Grundlagenkurs für gemischte Teams, die Web, API und Betriebsprozess in einem kompakten Format benötigen. Danach folgen gezielt die jeweiligen Vertiefungsseminare oder ein Intensivpfad.