Seminar DAST mit ZAP: Webanwendungen systematisch prüfen

Seminarbeschreibung

ZAP unterstützt die Untersuchung laufender Webanwendungen durch einen nachvollziehbaren Blick auf Anfragen, Antworten und erreichbare Funktionen. Das Seminar baut einen kontrollierten DAST-Arbeitsablauf auf, bei dem Scanumfang und Aussagekraft der Ergebnisse überprüft werden. Der Schwerpunkt liegt auf einer abgegrenzten Testanwendung und einer einfachen Benutzerrolle.

Neben der Bedienung werden Erfassungsprobleme, ungeeignete Scanrichtlinien und fehlende Testabdeckung untersucht. Ausgewählte Meldungen werden manuell nachvollzogen und nach einer Korrektur erneut geprüft. Komplexe Anmeldung, Token-Erneuerung, mehrere Rollen und tiefe API-Prüfungen werden im weiterführenden API-Seminar behandelt.

Lernziele

• ZAP mit einer freigegebenen Testanwendung und klaren Ausschlüssen einrichten.
• Erfassung, passive Analyse und aktive Tests bewusst steuern.
• Befunde mit Anfragen, Antworten und Anwendungskontext nachvollziehen.
• Einen ersten reproduzierbaren Scanplan erstellen und seine Grenzen dokumentieren.

Seminarinhalte

1. Arbeitsumgebung und Testgrenzen
2. Anwendung erfassen
3. Passive und aktive Prüfungen
4. Einfache Anmeldung und Sitzungen
5. Befunde verifizieren und nachprüfen
6. Wiederholbarer Scan und Bericht

Arbeitsumgebung und Testgrenzen

Browser, Proxy und Testanwendung werden für die Laborarbeit eingerichtet. Die Kontrolle des Scopes ist die Grundlage dafür, dass nur die vorgesehenen Funktionen angesprochen werden.

• Proxyverkehr und Testzertifikat in einem Schulungsprofil einrichten.
• Context, Zieladressen und Ausschlüsse festlegen.
• Rücksetzbare Testdaten und begrenzte Anfrageraten vorsehen.

Anwendung erfassen

Die tatsächlich erfasste Anwendungsoberfläche wird mit dem vorgesehenen Testumfang verglichen. Manuelle Navigation und geeignete Crawler ergänzen sich bei der Erkundung.

• Proxy-Historie, Sites-Struktur und manuelle Navigation auswerten.
• Klassischen und browsergestützten Crawl passend auswählen.
• Nicht erreichte Funktionen und unerwünschte Abmeldungen erkennen.

Passive und aktive Prüfungen

Die beiden Analysearten werden getrennt ausgeführt und verglichen. Scanrichtlinien werden anhand eines definierten Testziels ausgewählt und eingegrenzt.

• Passive Hinweise auf Antworten und Konfiguration auswerten.
• Aktive Tests, Regelumfang und Intensität steuern.
• Laufzeit, Abbruchbedingungen und technische Fehler beachten.

Einfache Anmeldung und Sitzungen

Eine vorbereitete Anmeldung wird so eingebunden, dass ein geschützter Bereich überprüfbar erreicht wird. Entscheidend ist der Nachweis einer gültigen Sitzung während des Tests.

• Einen Testbenutzer im passenden Context verwenden.
• Angemeldete und abgemeldete Antworten unterscheiden.
• Sitzungsverlust als Abdeckungslücke dokumentieren.

Befunde verifizieren und nachprüfen

Ausgewählte Warnungen werden mit einem begrenzten manuellen Nachtest nachvollzogen. Die Dokumentation beschreibt beobachtetes Verhalten und mögliche Auswirkungen getrennt.

• Risiko und Konfidenz eines Alerts unterscheiden.
• Anfrage, Antwort und reproduzierbare Schritte sichern.
• Korrektur prüfen und offene Unsicherheit benennen.

Wiederholbarer Scan und Bericht

Ein einfacher Plan im Automation Framework fasst die erarbeiteten Schritte zusammen. Ein zweiter Lauf prüft, ob Ergebnis und Testumfang nachvollziehbar reproduziert werden können.

• Context, Erfassung, Scan und Bericht in einem Plan verbinden.
• Abschluss der passiven Prüfungen berücksichtigen.
• Scanversion, Zielstand und bekannte Lücken festhalten.

Praktische Übungen

1. Browser und ZAP für eine lokale Schulungsanwendung verbinden.
2. Testumfang festlegen und die erreichbaren Funktionen erfassen.
3. Passive und aktive Prüfungen getrennt ausführen.
4. Eine einfache Anmeldung verifizieren und einen Befund nachvollziehen.
5. Nach einer Korrektur erneut prüfen und einen wiederholbaren Plan speichern.

Zielgruppe

Softwaretester, Webentwickler, Application-Security-Verantwortliche und DevOps-Engineers mit Aufgaben in der Anwendungssicherheit.

Voraussetzungen

Grundkenntnisse von HTTP, Webanwendungen und Client-Server-Kommunikation. Erfahrungen mit Browserwerkzeugen sind hilfreich. Kenntnisse entsprechend dem Grundlagen-Seminar.

Schulungsumgebung

Vorbereitete ZAP-Installation mit den erforderlichen Add-ons, getrenntem Browserprofil und rücksetzbarer Webanwendung. Aktive Übungen verwenden ausschließlich dafür freigegebene Laborziele. Eine produktive Zielanwendung ist für das Seminar nicht erforderlich.

Weiterführende Seminare

• DAST mit ZAP: APIs und authentifizierte Anwendungen
• DAST mit Burp Suite Professional: Scans und Befundprüfung
• SAST/DAST: CI/CD-Integration und automatisierte Freigaben
• SAST/DAST: Befunde bewerten und Schwachstellen beheben