Seminar Cyber Resilience Act – Product Security Testing und Security Gates

Ein Scanbericht ist noch kein Sicherheitsnachweis. Testverfahren müssen aus Produkt- und Bedrohungsmodell abgeleitet, reproduzierbar ausgeführt und mit klaren Abnahmekriterien bewertet werden. Dieses Seminar baut eine mehrstufige Product-Security-Teststrategie auf, die automatisierte Breite mit manueller Tiefe verbindet.

Ein Beispielprodukt wird statisch, dynamisch und schnittstellenorientiert geprüft. Findings werden validiert, auf reale Angriffswege bezogen und in risikobasierte Releaseentscheidungen überführt. Der Umgang mit False Positives, Testgrenzen, Ausnahmen und Regression erhält denselben Stellenwert wie die Werkzeugbedienung.

Seminarziel

Ziel ist ein prüfbarer Testprozess, der relevante Schwachstellen rechtzeitig findet, die Wirksamkeit von Sicherheitsmaßnahmen belegt und für jedes Release konsistente Evidenz liefert.

Lernziele

• Testziele aus Risikoanalyse, Threat Model und Sicherheitsanforderungen ableiten
• SAST, DAST, SCA, Fuzzing, Konfigurations- und Penetrationstests sinnvoll kombinieren
• Testabdeckung, Umgebung, Daten, Version und Grenzen nachvollziehbar dokumentieren
• Findings reproduzieren, deduplizieren, priorisieren und Verantwortlichen zuweisen
• Security Gates und Ausnahmeprozesse risikobasiert gestalten
• Regressionstests und Testevidenz in CI/CD und technische Dokumentation integrieren

Inhalte

Teststrategie

• Testbasis aus Assets, Angriffsflächen, Abuse Cases und Security Requirements
• Abdeckungsmodell für Code, APIs, Protokolle, Rollen, Konfiguration und Updatefunktion
• Auswahl von White-, Grey- und Black-Box-Verfahren
• Testtiefe nach Produktrisiko, Änderung und Exposition

Technische Prüfverfahren

• Statische Analyse, Kompositionsanalyse, Secret- und IaC-Prüfung
• Dynamische Analyse, API-Tests, Authentisierungs- und Autorisierungsprüfungen
• Fuzzing von Parsern, Protokollen und Eingabeschnittstellen
• Container-, Firmware-, Netzwerk- und Konfigurationsprüfung
• Gezielte manuelle Prüfung und externer Penetrationstest

Finding- und Freigabemanagement

• Reproduktionsdaten, Root Cause, betroffene Versionen und Exploitierbarkeit
• Schweregrad plus Produktkontext, Reichweite und Kompensationsmaßnahmen
• Blockierende Gates, Warnschwellen, zeitlich begrenzte Ausnahmen und Risikoakzeptanz
• Retest, Regression, Evidenzintegrität und Kennzahlen

Praktische Übungen

• Testmatrix aus Bedrohungsmodell und Sicherheitsanforderungen ableiten
• Mehrere automatisierte und dynamische Prüfungen gegen ein Laborprodukt ausführen
• Findings validieren, priorisieren und in ein Release Gate überführen
• Regressionstest und reproduzierbaren Testnachweis für eine Korrektur erstellen
• Testlücken und Restrisiken für die technische Dokumentation begründen

Zielgruppe

Das Seminar ist für Teams bestimmt, die Produktsicherheit prüfen, Testverfahren automatisieren oder Sicherheitsbefunde in belastbare Freigabeentscheidungen überführen.