Seminar ImmuniWeb Neuron Mobile – Mobile Security Scanning

Seminarprofil

Das Seminar behandelt die automatisierte Prüfung von APK- und IPA-Artefakten mit Neuron Mobile. Upload- und Build-Prozesse, statische und dynamische Analyse, Software Composition Analysis, Berechtigungen, lokale Datensicherheit, Netzwerkkommunikation, Datenschutz, mobile Backend-Endpunkte, Ergebnisvalidierung und CI/CD-Integration werden praktisch aufgebaut.

Die angesetzte Dauer von 2 tage ist fachlich erforderlich, weil die automatisierten Prüfverfahren technisch vielfältig sind, sich aber in zwei Tagen vollständig konfigurieren, auswerten und in den Build-Prozess integrieren lassen.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Artefakte, Builds und Testkontext
5. Statische Anwendungsanalyse
6. Dynamische Analyse und Kommunikation
7. Software Composition Analysis
8. Validierung und Remediation
9. CI/CD und Release-Gates
10. Praxisübungen

Zielgruppe und Voraussetzungen

Zielgruppe: Mobile-Entwicklung, DevSecOps, Application Security, Product Security, Release Engineering und technische Mobile-Verantwortliche.

Voraussetzungen: Grundkenntnisse zu Android oder iOS, App-Builds, Signierung, APIs und CI/CD; ein freigegebenes APK- oder IPA-Artefakt ist für Übungen hilfreich.

Lernziele

• Mobile Artefakte und Testkontext korrekt vorbereiten.
• SAST-, DAST- und Komponentenergebnisse voneinander unterscheiden.
• Mobile Findings nach Code, Plattform, Backend und Datenschutz einordnen.
• Automatisierte Ergebnisse fachlich validieren und priorisieren.
• Neuron Mobile sicher in Build- und Release-Pipelines integrieren.

Seminarinhalte

1. Artefakte, Builds und Testkontext

Die Aussagekraft eines Scans hängt von der richtigen App-Version und ihrem Kontext ab.

1. APK- oder IPA-Datei, Buildtyp und Versionsstand dokumentieren.
2. Test- und Produktionskonfigurationen klar unterscheiden.
3. Backend-Umgebung, Testkonten und regionale Varianten erfassen.
4. Signierung, Schutzmechanismen und erforderliche Zugangsdaten sicher bereitstellen.

2. Statische Anwendungsanalyse

Statische Prüfungen untersuchen Code und Konfiguration ohne vollständige Ausführung.

1. Berechtigungen, Manifestdaten und Plattformkonfiguration bewerten.
2. Hardcoded Secrets, Debug-Code und unsichere Konstanten erkennen.
3. Kryptografie-, Speicher- und Datenschutzmuster prüfen.
4. Findings mit betroffener Komponente und Build-Version verknüpfen.

3. Dynamische Analyse und Kommunikation

Die App wird kontrolliert ausgeführt, um Laufzeit- und Kommunikationsrisiken zu erkennen.

1. Relevante Nutzerpfade und App-Zustände für den Test definieren.
2. Lokale Speicherung, Logs, Cache und Zwischenablage beobachten.
3. TLS, Endpunkte und übertragene Daten analysieren.
4. Fehler-, Authentisierungs- und Sitzungsverhalten bewerten.

4. Software Composition Analysis

Drittkomponenten werden nach Version, Herkunft und tatsächlichem Einsatz bewertet.

1. Bibliotheken und eingebettete Frameworks inventarisieren.
2. Bekannte Schwachstellen und veraltete Komponenten zuordnen.
3. Direkte und transitive Abhängigkeiten unterscheiden.
4. Upgrade-, Austausch- oder Kompensationsmaßnahmen priorisieren.

5. Validierung und Remediation

Automatisierte Mobile-Findings werden in konkrete Entwicklungsaufgaben übersetzt.

1. Evidenz, Kontext und mögliche Fehlinterpretationen prüfen.
2. App-, Backend-, Plattform- und Lieferkettenursachen trennen.
3. Risiko mit Datenklasse, Berechtigungen und Angriffsweg kalibrieren.
4. Akzeptanzkriterien und erforderliche Wiederholungstests definieren.

6. CI/CD und Release-Gates

Scans werden reproduzierbar an Artefakte und Releases gekoppelt.

1. Upload oder API-Aufruf in den Buildprozess integrieren.
2. Secrets, Tokens und Berechtigungen absichern.
3. Blockierende Kriterien und Ausnahmewege definieren.
4. Scanbericht, Release und Retest-Nachweis dauerhaft verknüpfen.

Praxisübungen

• Vorbereitung eines Mobile-Scan-Artefakts.
• Auswertung kombinierter SAST-, DAST- und SCA-Befunde.
• Zuordnung von Findings zu App, Backend und Plattform.
• Entwurf eines risikobasierten Mobile-Release-Gates.

Im Rahmen der Übungen entsteht ein Neuron-Mobile-Betriebsablauf mit Artefaktkontrolle, Analysearten, Validierung, Remediation und CI/CD-Gate.