Software-Sicherheit ist ein schnelllebiges Thema mit ständig neuen Schwachstellen. Als TesterIn ist es schwierig, damit Schritt zu halten. Wir werden uns daher die aktuell schwerwiegendsten Schwachstellen (OWASP Top 10 Security Vulnerabilities) ansehen und wie man diese mit Methoden und Werkzeugen des statischen und dynamischen Sicherheitstestens addressieren kann. Konkret werden wir uns in praktischen Übungen damit beschäftigen, wie man diese Schwachstellen durch statische Analyse mittels SonarQube und durch Penetrationstests mittels verschiedener Werkzeuge in Kali Linux finden und beheben kann.

Zielpublikum: Tester:innen, Entwickler:innen, Testmanager
Voraussetzungen: Grundlegende Testkenntnisse. Für die praktischen Übungen wäre ein Laptop hilfreich.
Schwierigkeitsgrad: Basic

Benötigt wird ein Laptop.
Maximale Anzahl von Teilnehmern: 16
Wenn Sie an diesem Workshop teilnehmen möchten, bitten wir Sie, beim Kauf Ihres Tickets die Kursauswahl zu vermerken. Bitte erscheinen Sie 10 Minuten vor Beginn des Workshops im Vortragsraum.

Extended Abstract:
Das Tutorial, das einen großen Schwerpunkt auf Interaktion und praktische Übungen auf Basis eines Miro-Boards legt, ist wie folgt strukturiert:

• Einführung und Motivation in Softwaresicherheit
• Einführung und Überblick zu den 10 aktuell gefährlichsten Softwareschwachstellen (OWASP Top 10)
• Eine davon in technischen Einzelheiten: Cross-Site Scripting (XSS)
• Praktischer Demo und Übungen zur Ausnutzung dieser Schwachstelle am Beispiel der absichtlich unsicheren Web-Anwendung Google Gruyere (https://google-gruyere.appspot.com)
• Statische Sicherheitsanalyse mit SonarQube; Beispiel-Anwendungen in der SonarCloud (https://sonarcloud.io/explore/projects)
• Dynamische Sicherheitsanalyse und Penetrationstest mit Kali Linux: Praktische Übungen in einer Cloud-basiert bereitgestellten Kali Linux VM, z.B. die Werkzeuge nmap, skipfish, Zed Application Proxy (ZAP) und metasploit.

Das Tutorial besteht zu ca. 50 % aus praktischen Aktivitäten, die in Kleingruppen unter Anleitung des Dozenten durchgeführt werden..

Wer kennt das nicht? Am Ende der Produktentwicklung sind zu wenig Zeit, zu wenig Ressourcen vorhanden. Oft wird dann an der Qualität gespart. Bei der Bison haben wir uns deswegen für das Vorgehen des risikobasierten Testens entschieden, um zu verhindern, dass die Qualität leidet. Das risikobasierte Testen begleitet uns den ganzen Weg von der Idee über das Requirements Engineering bis hin zur Produktentwicklung und zur Auslieferung. Warum wir das tun, was sich dahinter verbirgt und welche positiven Erfahrungen wir damit gemacht haben, erzählen wir Euch in diesem Vortrag.

Zielpublikum: Product Owner, Developer, Projektleiter, Quality Assurance, Requirements Engineers, Tester
Voraussetzungen: Interesse an Qualitätssicherung und Risikomanagement.
Schwierigkeitsgrad: Basic

Extended Abstract:
Risikobasiertes Testen ist wichtig, weil es hilft, die begrenzten Ressourcen effektiver einzusetzen. Vorhaben sind in der Regel zeit-, kosten- und ressourcenbeschränkt. Da es nicht möglich ist, alles zu testen, muss das Testen priorisiert werden, um sicherzustellen, dass die kritischen Funktionen und Eigenschaften der Produkte getestet werden. Das Risikobasierte Testen basiert auf der Bewertung und Priorisierung von Risiken, die mit dem Produkt verbunden sind. Ein Risiko ist die Möglichkeit, dass ein unerwünschtes Ereignis eintritt und kann verschiedene Auswirkungen haben, wie zum Beispiel Mehraufwand, Fehlverhalten oder Sicherheitsverletzungen. Indem man sich auf die Risiken konzentriert, die am wahrscheinlichsten und am schwerwiegendsten sind, kann man sicherstellen, dass man das Testen auf die Bereiche konzentriert, die am wichtigsten sind. Das spart Zeit, Ressourcen und Kosten, da das Testen auf die kritischen Teile des Produktes konzentriert wird und weniger wichtige Teile möglicherweise weniger intensiv oder sogar gar nicht getestet werden. Risikobasiertes Testen ist auch wichtig, um sicherzustellen, dass das Produkt den Anforderungen entspricht und den Kundenbedürfnissen gerecht wird, indem man sich auf die kritischen Funktionen und Eigenschaften schon beim Requirements Engineering fokussiert. In unseren mehrfach durchgeführten Kursen und bereits gehaltenem Vortrag zu dem Thema wurde uns immer wieder bewusst, dass risikobasiertes Testen bereits schon bei der Generierung der Idee und dem Requirements Engineering ein wichtiger Bestandteil ist, um Erfolg zu haben und Qualität sicherzustellen, um das Bestmögliche zusammen mit dem Kunden zu erreichen. Wir beschreiben, wie wir bei der Bison vorgehen, wie Risiken identifiziert und bewertet werden, wie die Kunden und Stakeholder beraten und frühzeitig mit einbezogen werden, wie man Risikokataloge im Requirements Engineering mit einbezieht und im besten Fall dem Kunden noch weitere Dienstleistungen in Bezug auf Risikobewältigung verkaufen kann. Im Vortag möchten wir zudem auf die Teilnehmer eingehen und herausfinden, ob sie vor ähnlichen Herausforderungen stehen und ein wenig aus unserem Nähkästchen plaudern.

Wie schreiben wir unsere Testfälle? Meist per Hand, inzwischen vielleicht auch mit KI-Unterstützung. Vermutlich jedoch nicht modellbasiert. Was schade ist, denn viele Testdesign-Methoden des ISTQBs bilden eine perfekte Symbiose mit modellbasierten Testverfahren.
In diesem Tutorial wollen wir einige grundlegenden Vorgehensweisen des strukturierten Testdesigns rekapitulieren und uns anschauen, wie sich diese mit modellbasierten Testansätzen erfolgreich kombinieren lassen. Denn anders als vom ISTQB suggeriert, ist MBT kein reines Spezialisten-Thema! Außerdem werfen wir einen Blick darauf, wie KI den Test im allgemeinen und MBT im Besonderen verändert hat bzw. verändern wird.

Zielpublikum: Tester:innen, Testmanager:innen
Voraussetzungen: keine (es ist mein erklärtes Ziel, alle abzuholen)
Schwierigkeitsgrad: Basic

Extended Abstract:
Die meisten von uns sind geübte Autofahrer, aber würden wir die theoretische Fahrprüfung noch einmal bestehen? Vermutlich nicht. Vieles haben wir verinnerlicht, manches jedoch nie gebraucht und vergessen, von den Änderungen seit damals mal ganz abgesehen.
Die meisten von uns sind geübte Tester, aber würden wir die CTFL-Prüfung auf Anhieb noch einmal bestehen. Auch eher unwahrscheinlich. Manches, wie die Äquivalenzklassenbildung ist uns in Fleisch und Blut übergegangen, aber vieles kam nie zum Einsatz. Wie oft nutzen Sie Entscheidungstabellen oder zustandsbasierte Testentwurfsverfahren? Wie schaut es mit MBT aus? Und haben Sie schon Erfahrungen mit KI-gestützter Testfallerstellung?
Das Tutorial richtet sich an alle, die systematisch testen wollen, in der Praxis jedoch Verbesserungspotenzial in ihren Projekten sehen. Er basiert auf dem CTFL-Lehrplan V4.0 sowie dem demnächst aktualisierten ISTQB MBT-Lehrplan. Neulinge im Test erhalten einen raschen Überblick über die wichtigsten Testentwurfsverfahren. Erfahrene Testerinnen und Tester erhalten ein Update und Einblicke in die Vorteile des modellbasierten Testens und die konkreten Einsatzmöglichkeiten.
Des Weiteren werden wir uns gemeinsam anschauen, welche Möglichkeiten es gibt, KI im Testdesign zu nutzen und wo die Grenzen sowohl der KI-Modelle als auch der MBT-Modelle liegen.