Seminar SAST/DAST: Befunde bewerten und Schwachstellen beheben

Seminarbeschreibung

Ein Scanner liefert Meldungen; die wirksame Bearbeitung verlangt technische Prüfung, Priorisierung und eine verständliche Beschreibung für das zuständige Team. Das Seminar verbindet diese Schritte in einem gemeinsamen Workflow. Es betrachtet Code- und Laufzeitbefunde derselben Beispielanwendung und zeigt, wann unterschiedliche Meldungen auf dieselbe Ursache hinweisen.

Die praktische Arbeit folgt einem Befund vom Eingang bis zur nachgeprüften Korrektur. Technischer Schweregrad, tatsächliche Erreichbarkeit, vorhandene Schutzmaßnahmen und geschäftlicher Schaden werden getrennt betrachtet. Bewusst berücksichtigt werden auch Fälle, die zunächst unklar bleiben oder vorübergehend akzeptiert werden müssen. Der Bearbeitungsstatus bleibt dadurch fachlich begründet und später überprüfbar.

Lernziele

• SAST- und DAST-Meldungen anhand technischer Evidenz verifizieren.
• Befunde nachvollziehbar priorisieren und mögliche Doppelmeldungen zuordnen.
• Bearbeitbare Tickets mit Ursache, Reproduktion und Abnahmekriterium erstellen.
• Korrekturen, Wiederholungsprüfungen und genehmigte Ausnahmen kontrollieren.

Seminarinhalte

1. Befunde erfassen und zuordnen
2. Technische Verifikation
3. Risiko und Bearbeitungsreihenfolge
4. Korrekturen und Entwicklungstickets
5. Ausnahmen und Altlasten
6. Nachprüfung und Steuerung

Befunde erfassen und zuordnen

Verschiedene Scannerberichte werden in eine gemeinsame Sicht überführt. Ein Befund behält dabei die Informationen, die zu seiner späteren Reproduktion erforderlich sind.

• Werkzeug, Regel, Fundstelle und Anwendungsstand erfassen.
• Datenfluss, Endpunkt und betroffene Komponente zuordnen.
• Doppelmeldungen prüfen, ohne unterschiedliche Ursachen zu verlieren.

Technische Verifikation

Code- und Laufzeitmeldungen werden mit begrenzten Nachtests untersucht. Eine saubere Beweiskette verhindert, dass eine bloße Scannervermutung unbesehen zum bestätigten Fehler erklärt wird.

• Quelle, Verarbeitung und Senke im Code nachvollziehen.
• Anfrage, Antwort, Rolle und Vorbedingungen prüfen.
• Fehlalarm, offener Klärungsbedarf und bestätigten Befund unterscheiden.

Risiko und Bearbeitungsreihenfolge

Die Priorisierung berücksichtigt Anwendungskontext und erreichbaren Schaden. Die Fallarbeit zeigt, weshalb gleich eingestufte Scannerwarnungen unterschiedliche Bearbeitungsfristen benötigen können.

• Exponierung, erforderliche Rechte und Schutzbedarf berücksichtigen.
• Technischen Schweregrad von geschäftlicher Priorität trennen.
• Verantwortung, Frist und Eskalation festlegen.

Korrekturen und Entwicklungstickets

Aus dem bestätigten Befund wird eine umsetzbare Aufgabe. Der Schwerpunkt liegt auf der Behebung der Ursache und auf einer prüfbaren Beschreibung der erwarteten Änderung.

• Evidenz und minimale Reproduktionsschritte dokumentieren.
• Geeignete Eingabeprüfung, Parametrisierung oder Berechtigungskontrolle auswählen.
• Akzeptanzkriterien und begleitende Regressionstests formulieren.

Ausnahmen und Altlasten

Für Befunde ohne sofortige Behebung wird ein kontrolliertes Verfahren entwickelt. Eine Ausnahme bleibt an einen konkreten Sachverhalt und eine erneute Entscheidung gebunden.

• Begründung, Verantwortlichen und Ablaufdatum festhalten.
• Kompensierende Maßnahmen und verbleibendes Risiko benennen.
• Pauschale Unterdrückungen und ungeprüfte Baselines vermeiden.

Nachprüfung und Steuerung

Die Korrektur wird mit passenden technischen Nachweisen abgeschlossen. Kennzahlen werden so gewählt, dass sie Bearbeitungsqualität statt bloßer Meldungsmenge abbilden.

• Gleiche Rolle, Daten und Bedingungen für den Nachtest herstellen.
• Codeprüfung, DAST-Nachtest und Regression miteinander verbinden.
• Wiedereröffnung, Überfälligkeit und tatsächliche Bearbeitungsdauer auswerten.

Praktische Übungen

1. Ein vorbereitetes Befundpaket aus mehreren Werkzeugen sichten und zuordnen.
2. Zwei unterschiedliche Meldungen technisch prüfen und ihre Evidenz ergänzen.
3. Eine begründete Priorisierung mit Zuständigkeiten erstellen.
4. Ein bearbeitbares Entwicklungsticket und einen passenden Regressionstest formulieren.
5. Eine Korrektur nachprüfen und einen Ausnahmefall mit Ablaufdatum dokumentieren.

Zielgruppe

Entwickler, Security Champions, technische Tester, Application-Security-Verantwortliche und Teamleiter mit Verantwortung für die Befundbearbeitung.

Voraussetzungen

Grundkenntnisse von SAST und DAST sowie Fähigkeit, einfache Codeausschnitte und HTTP-Anfragen zu lesen. Erste praktische Scannererfahrung wird empfohlen.

Schulungsumgebung

Vorbereitete Code- und HTTP-Beispiele, Berichte aus SAST- und DAST-Werkzeugen sowie eine rücksetzbare Laboranwendung. Ein einfaches Ticketschema wird verwendet; die Administration eines bestimmten Ticketsystems gehört nicht zum Seminar.