Die Sicherheit von Web-Anwendungen ist ein schnell-lebiges Thema mit ständig neuen Schwachstellen. Als Tester ist es schwierig, damit in der täglichen Arbeit Schritt zu halten. Wir werden uns daher die neuen Einträge in den OWASP Top 10 der schwerwiegendensten Schwachstellen von Webanwendungen ansehen und wie man diese mit Methoden und Werkzeugen des Sicherheitstestens addressieren kann: Insecure Design, Software and Data Integrity Failures, sowie Server-Side Request Forgeries (SSRF). Konkret werden wir uns in Praxisaufgaben damit beschäftigen, wie man diese Schwachstellen mittels des Werkzeugs SonarQube finden und beheben kann.

Maximale Teilnehmerzahl: 15

Zielpublikum: Tester, Entwickler, Testmanager, Projektleiter mit Interesse an sicheren Web-Anwendungen
Voraussetzungen: Grundlegende Kenntnisse im Softwaretest
Schwierigkeitsgrad: Basic

Extended Abstract:
Jedes Jahr werden zigtausende Schwachstellen in Softwareanwendungen bekannt, mit desaströsen Auswirkungen für die Reputation der betroffenen Entwickler und die Daten ihrer Kunden, oft mit signifikanten finanziellen Schäden.
Die Sicherheit von Web-Anwendungen ist dabei ein schnell-lebiges Thema, bei dem ständig neue Schwachstellen relevant werden. Als Tester ist es schwierig, damit in der täglichen Arbeit Schritt zu halten
Wir werden uns daher die neuen Einträge in den OWASP Top 10 der schwerwiegendensten Schwachstellen von Webanwendungen ansehen und wie man diese mit Methoden und Werkzeugen des Sicherheitstestens addressieren kann: Insecure Design, Software and Data Integrity Failures, sowie Server-Side Request Forgeries (SSRF). Konkret werden wir uns in Praxisaufgaben damit beschäftigen, wie man diese Schwachstellen mittels des Werkzeugs SonarQube finden und beheben kann.
Beim Sicherheitstesten müssen wir dabei wie ein Angreifer denken können. In diesem Tutorial werden wir uns daher in das Gehirn des Angreifers schleichen und auf seine Art zu denken lernen. Dazu basiert das Tutorial auf einem praktischen Einsatz des Softwareanalysewerkzeugs SonarQube seitens der Teilnehmer. So werden wir lernen, wie wir die dort umgesetzten Sicherheitstests nutzen können und diese automatisch ausführen lassen können. Diese Tests spiegeln die Best Practices in der Entwicklung sicherer Web-Anwendungen wieder.
Das Tutorial ist entlang praktischer Übungen mittels open-source Werkzeugen für das Sicherheitstesten strukturiert, für die ein eigener Laptop mitgebracht werden sollte. Konkret sind dies u.a. die Software-QS-Plattform SonarQube, die wir für Sicherheitstests verwenden werden. Dabei werden wir aus erster Hand erfahren, wie Angreifer bei der Schwachstellensuche vorgehen, was uns dabei hilft, solche Schwachstellen zu vermeiden.