Anwendungssicherheitstests: OWASP Top 10, SAST, DAST und SCA Schulung

A01:2025 – Fehlgeschlagene Zugriffskontrolle

Zugriffskontrolle erzwingt Richtlinien, sodass Benutzer:innen nicht außerhalb ihrer beabsichtigten Berechtigungen handeln können. Fehler führen typischerweise zur unbefugten Offenlegung, Änderung oder Zerstörung aller Daten oder zur Ausführung von Geschäftsprozessen außerhalb der Grenzen des Benutzers.

Praktische Aspekte

• Praxisnahe Beispiele für fehlerhafte Zugriffskontrollen

• Sichere Zugriffskontrollen und bewährte Methoden

A02:2025 – Unsichere Konfigurationen

Unsichere Konfiguration liegt vor, wenn ein System, eine Anwendung oder ein Cloud-Dienst aus Sicht der Sicherheit falsch eingerichtet wird und so Schwachstellen entstehen.

Praktische Aspekte

• Beispiele aus der Praxis für fehlerhafte Konfigurationen

• Maßnahmen zur Vermeidung von Konfigurationsfehlern, einschließlich Konfigurationsmanagement und Automatisierungstools

A03:2025 – Schwachstellen in der Software-Versorgungskette

Schwachstellen in der Software-Versorgungskette beziehen sich auf Ausfälle oder andere Kompromittierungen im Prozess des Aufbaus, der Verteilung oder der Aktualisierung von Software. Sie werden oft durch Schwachstellen oder bösartige Änderungen in Drittanbietercode, Tools oder anderen Abhängigkeiten verursacht, auf die das System angewiesen ist.

A04:2025 – Kryptografie-Fehler

Grundsätzlich sollten alle Daten im Transport auf der Transportschicht (OSI-Schicht 4) verschlüsselt werden. Frühere Hürden wie CPU-Leistung und das Management von privaten Schlüsseln/Zertifikaten werden heute durch CPUs behoben, die Instruktionen zur Beschleunigung der Verschlüsselung (z. B. AES-Unterstützung) besitzen, und durch das vereinfachte Management von privaten Schlüsseln und Zertifikaten über Dienste wie LetsEncrypt.org, während große Cloud-Anbieter noch stärker integrierte Zertifikatsmanagementdienste für ihre spezifischen Plattformen bereitstellen.

Neben der Absicherung der Transportschicht ist es wichtig zu bestimmen, welche Daten in Ruhe verschlüsselt werden müssen und welche Daten zusätzlichen Schutz im Transport (auf der Anwendungsschicht, OSI-Schicht 7) benötigen.

Beispielsweise benötigen Passwörter, Kreditkartendaten, Gesundheitsakten, personenbezogene Informationen und Geschäftsgeheimnisse zusätzlichen Schutz, insbesondere wenn diese Daten unter Datenschutzgesetze, z. B. die Datenschutz-Grundverordnung (DSGVO) der EU, oder Regulierungen wie PCI Data Security Standard (PCI DSS) fallen.

Praktische Aspekte

• Detaillierte Analyse von Kryptografie-Fehlern wie schwache Verschlüsselungsalgorithmen oder fehlerhaftes Schlüsselmanagement

• Bedeutung starker kryptografischer Mechanismen, sicherer Protokolle (SSL/TLS) und Beispiele für moderne Kryptografie in der Websicherheit

A05:2025 – Injektionen

Eine Injektionsschwachstelle ist ein Systemfehler, der es einem Angreifer ermöglicht, bösartigen Code oder Befehle (wie SQL- oder Shell-Code) in Eingabefelder eines Programms einzufügen, um das System dazu zu bringen, den Code oder die Befehle auszuführen, als wären sie Teil des Systems. Dies kann zu schwerwiegenden Folgen führen.

Praktische Aspekte

• Detaillierte Aufschlüsselung von SQL-, NoSQL-, OS- und LDAP-Injektionen

• Abwehrtechniken unter Verwendung von Prepared Statements, parametrisierten Abfragen und Escape-Handling von Eingaben

A06:2025 – Unsicheres Design

Unsicheres Design ist eine weit gefasste Kategorie, die verschiedene Schwächen darstellt, ausgedrückt als „fehlendes oder wirkungsloses Kontroll-Design“.

Unsicheres Design ist nicht die Ursache für alle anderen Kategorien in der Top Ten. Bitte beachten Sie, dass es einen Unterschied zwischen unsicherem Design und unsicherer Implementierung gibt. Wir unterscheiden zwischen Designfehlern und Implementierungsdefiziten aus einem bestimmten Grund: Sie haben unterschiedliche Ursachen, treten zu unterschiedlichen Zeitpunkten im Entwicklungsprozess auf und erfordern unterschiedliche Behebungsmaßnahmen.

Ein sicheres Design kann immer noch Implementierungsdefizite aufweisen, die zu ausnutzbaren Schwachstellen führen. Ein unsicheres Design kann nicht durch eine perfekte Implementierung behoben werden, da die erforderlichen Sicherheitskontrollen zur Abwehr bestimmter Angriffe nie erstellt wurden.

Ein Faktor, der zum unsicheren Design beiträgt, ist der Mangel an Geschäftsrisiko-Profiling, das in der entwickelten Software oder im System inhärent sein sollte, und damit das Versagen, das erforderliche Niveau des Sicherheitsdesigns zu bestimmen.

Praktische Aspekte

• Wir werden Designfehler untersuchen, die zu Schwachstellen führen können, wie z. B. unzureichende Eingabevalidierung

• Wir werden Strategien für sichere Architekturen und Prinzipien des sicheren Designs studieren

A07:2025 – Authentifizierungsfehler

Diese Schwachstelle liegt vor, wenn ein Angreifer in der Lage ist, ein System dazu zu betrügen, einen ungültigen oder falschen Benutzer als legitim zu erkennen.

Praktische Aspekte

• Gängige Probleme bei der Authentifizierung

• Sichere Authentifizierungsstrategien, wie z. B. Multi-Faktor-Authentifizierung und korrektes Sitzungsmanagement

A08:2025 – Fehlende Software- oder Datenintegrität

Fehlende Software- oder Datenintegrität bezieht sich auf Code und Infrastruktur, die nicht davor geschützt sind, dass ungültige oder nicht vertrauenswürdige Code- oder Datenelemente als vertrauenswürdig und gültig behandelt werden.

Ein Beispiel hierfür ist, wenn eine Anwendung auf Plugins, Bibliotheken oder Module aus nicht vertrauenswürdigen Quellen, Repositories und Content Delivery Networks (CDNs) angewiesen ist.

Eine unsichere CI/CD-Pipeline, die keine Softwareintegritätsprüfungen verbraucht und bereitstellt, kann das Potenzial für unbefugten Zugriff, unsicheren oder bösartigen Code oder Systemkompromittierung einführen.

Ein weiteres Beispiel hierfür ist eine CI/CD-Umgebung, die Code oder Artefakte aus nicht vertrauenswürdigen Stellen abruft und/oder diese vor der Verwendung nicht validiert (z. B. durch Überprüfung der Signatur oder einem ähnlichen Mechanismus).

Praktische Aspekte

• Fokus auf Probleme wie nicht vertrauenswürdige Softwareupdates und Datenmanipulation

• Sichere Update-Mechanismen und Integritätsprüfungen für Daten

A09:2025 – Fehlgeschlagene Sicherheitsprotokollierung und -benachrichtigung

Ohne Protokollierung und Monitoring können Angriffe und Sicherheitsverletzungen nicht erkannt werden, und ohne Benachrichtigungen ist es sehr schwierig, bei einem Sicherheitsvorfall schnell und wirksam zu reagieren.

Unzureichende Protokollierung, kontinuierliches Monitoring, Detektion und Benachrichtigung zur Einleitung aktiver Reaktionen finden jederzeit statt.

Praktische Aspekte

• Bedeutung der Protokollierung sicherheitsrelevanter Informationen und der Überwachung verdächtiger Aktivitäten

• Tools und Praktiken für eine ordnungsgemäße Protokollierung und Echtzeit-Monitoring zur frühen Erkennung von Sicherheitsverletzungen

A10:2025 – Unsachgemäße Handhabung außergewöhnlicher Bedingungen

Die unsachgemäße Handhabung außergewöhnlicher Bedingungen in Software tritt auf, wenn Programme versagen, ungewöhnliche und unvorhersehbare Situationen zu verhindern, zu erkennen und darauf zu reagieren, was zu Abstürzen, unerwartetem Verhalten und manchmal zu Schwachstellen führt.

Dies kann eine oder mehrere der folgenden drei Fehler beinhalten:

• Die Anwendung verhindert nicht, dass eine ungewöhnliche Situation eintritt

• Sie erkennt die Situation nicht, während sie eintritt

• Sie reagiert nachträglich schlecht oder gar nicht auf die Situation

SAST – Statisches Anwendungssicherheitstest

1. Was statische Analyse ist und wann sie im SDLC durchgeführt werden sollte (Shift Left)

2. Typen von Schwachstellen, die durch SAST erkannt werden können, anfälliger Code im Vergleich zu sicherem Code

3. Überblick über SAST-Tools (z. B. Semgrep, SonarQube, Checkmarx, abhängig vom Client-Stack)

4. Praktische Übung: Durchführung eines SAST-Scans auf einem Repository mit absichtlich eingeführten Schwachstellen, Interpretation der Ergebnisse, Kategorisierung von Fehlalarmen im Vergleich zu echten Schwachstellen

DAST – Dynamisches Anwendungssicherheitstest

1. Unterschied zwischen SAST und DAST, Black-Box-Tests an der laufenden Anwendung

2. Der Ablauf eines DAST-Scans, Crawling, Fuzzing, Antwortanalyse

3. Überblick über DAST-Tools (z. B. OWASP ZAP, Burp Suite)

4. Praktische Übung: Durchführung eines DAST-Scans auf einer verwundbaren Testanwendung (z. B. OWASP Juice Shop), Identifizierung und Validierung der Befunde

SCA – Software Composition Analysis

1. Risiko von Drittanbieter-Abhängigkeiten und Bibliotheken, vererbte Schwachstellen

2. SBOM, Software Bill of Materials, was es ist und warum es wichtig ist

3. Überblick über SCA-Tools (z. B. Dependency Check, Snyk, GitHub Dependabot)

4. Praktische Übung: Durchführung eines SCA-Scans auf einem realen Projekt, Identifizierung verwundbarer Abhängigkeiten und Erstellung eines Behebnungsplans (Aktualisieren, Patchen, Minderung)