Seminar SAST/DAST: Kompaktseminar für den Praxiseinstieg

Seminarbeschreibung

Das Kompaktseminar bietet einen überschaubaren Einstieg mit zwei Werkzeugen und einem gemeinsamen Projekt. Semgrep untersucht den Quellcode, ZAP die laufende Anwendung. Die Teilnehmenden verbinden beide Sichtweisen und entwickeln ein Verständnis dafür, welche Aussage ein Befund erlaubt und welche zusätzlichen Nachweise erforderlich sind.

Die praktische Arbeit führt von einem kontrollierten ersten Lauf über die Bewertung ausgewählter Meldungen bis zur nachgeprüften Korrektur. Eine einfache Pipeline beziehungsweise ein vorbereiteter Automatisierungsablauf zeigt, wie sich die Prüfungen wiederholen lassen. Der Kurs konzentriert sich auf eine Sprache, eine Webanwendung und eine einfache Testidentität. Komplexe API-Anmeldung, vertiefte CodeQL-Abfragen und zusätzliche Werkzeuge gehören zu den aufbauenden Seminaren.

Lernziele

• Statische und dynamische Analyse an einem gemeinsamen Projekt durchführen.
• Scanumfang und wesentliche technische Fehlerzustände überprüfen.
• Einen Codebefund und einen Laufzeitbefund nachvollziehen und korrigieren.
• Einen einfachen wiederholbaren Prüfablauf mit begründeten Freigabekriterien erstellen.

Seminarinhalte

1. Gemeinsame Grundlagen und Labor
2. SAST mit Semgrep
3. DAST mit ZAP
4. Bewerten und korrigieren
5. Einfache Automatisierung
6. Einführung im eigenen Arbeitskontext

Gemeinsame Grundlagen und Labor

Der Einstieg verbindet die Verfahren mit einem konkreten Testauftrag. Alle praktischen Schritte verwenden denselben Projektstand und eine vorbereitete, rücksetzbare Anwendung.

• SAST, DAST und ergänzende manuelle Prüfungen einordnen.
• Codebestand, Testziel und erlaubten Scope festlegen.
• Werkzeuge und Testanwendung in der vorbereiteten Umgebung prüfen.

SAST mit Semgrep

Ein erster Code-Scan wird fachlich geprüft und gezielt angepasst. Eine kleine eigene Suchregel zeigt, wie projektspezifische Anforderungen in die Analyse einfließen können.

• Scan durchführen und erfasste Dateien kontrollieren.
• Einen Befund im Codekontext nachvollziehen.
• Eine einfache Suchregel mit Gegenbeispiel ergänzen.

DAST mit ZAP

Die laufende Anwendung wird erfasst und mit einem begrenzten Regelumfang geprüft. Eine einfache Anmeldung wird anhand des tatsächlich erreichbaren Bereichs kontrolliert.

• Proxy und Context einrichten, Anwendung erfassen.
• Passive und aktive Prüfungen unterscheiden und durchführen.
• Anmeldung und einen ausgewählten Laufzeitbefund verifizieren.

Bewerten und korrigieren

Die ausgewählten Meldungen werden zu konkreten Änderungen verarbeitet. Nach der Korrektur wird untersucht, ob die Ursache behoben wurde und die Anwendung weiterhin wie vorgesehen funktioniert.

• Risiko, Evidenz und mögliche Doppelmeldung einordnen.
• Ein verständliches Ticket mit Abnahmekriterium erstellen.
• Code- und Laufzeitprüfung nach der Änderung wiederholen.

Einfache Automatisierung

Ein vorbereiteter Ablauf verbindet die beiden Werkzeuge. Ein absichtlich gestörter Lauf macht deutlich, weshalb technische Fehler gesondert erkannt werden müssen.

• Versionierte Scan-Konfiguration und Berichte verwenden.
• Scannerfehler und fehlende Testergebnisse als Fehler behandeln.
• Ein einfaches Gate für neue Befunde festlegen.

Einführung im eigenen Arbeitskontext

Ein kurzer Umsetzungsplan überträgt die Übungen auf ein geeignetes Pilotprojekt. Der Plan bleibt auf erreichbare erste Schritte mit klarer Verantwortung begrenzt.

• Ein passendes Pilotprojekt und seinen Testumfang wählen.
• Verantwortung für Konfiguration und Befundbearbeitung benennen.
• Den nächsten Vertiefungsbedarf aus den Projektanforderungen ableiten.

Praktische Übungen

1. Eine vorbereitete Anwendung mit Semgrep analysieren.
2. Die gleiche Anwendung in ZAP erfassen und gezielt prüfen.
3. Je einen Code- und Laufzeitbefund technisch nachvollziehen.
4. Eine Korrektur mit erneuter Analyse und einem Gegenbeispiel absichern.
5. Beide Prüfungen in einem vorbereiteten Ablauf wiederholen.
6. Einen einfachen Einführungsplan mit Zuständigkeit und Gate formulieren.

Zielgruppe

Entwickler, Softwaretester, DevOps-Mitarbeiter und Security Champions, die einen durchgängigen praktischen Einstieg in SAST und DAST benötigen.

Voraussetzungen

Grundlegende Programmierkenntnisse, Git- und Kommandozeilenpraxis sowie Verständnis von HTTP und Webanwendungen. Vorkenntnisse in Semgrep oder ZAP sind nicht erforderlich.

Schulungsumgebung

Vorbereitete Linux-VM oder abgestimmte Containerumgebung mit Git, Editor, Semgrep Community Edition, ZAP und einer rücksetzbaren Python-Webanwendung. Eine einfache Testidentität und ein vorbereiteter Automatisierungsablauf sind vorhanden. Eine Einrichtung produktiver Unternehmenssysteme ist nicht erforderlich.

Weiterführende Seminare

• SAST mit Semgrep: Regeln und sichere Codeprüfungen
• SAST mit SonarQube: Sicherheitsanalysen und Quality Gates
• SAST mit CodeQL: Codeanalyse und eigene Abfragen
• DAST mit ZAP: Webanwendungen systematisch prüfen
• DAST mit ZAP: APIs und authentifizierte Anwendungen
• SAST/DAST: CI/CD-Integration und automatisierte Freigaben