Seminar ImmuniWeb Neuron – Web- und API-Sicherheitsscans

Seminarprofil

Das Seminar vermittelt den produktiven Betrieb von ImmuniWeb Neuron. Asset-Onboarding, Scanprofile, Authentisierung, Crawling, API-Spezifikationen, Zeitplanung, Befundvalidierung, Priorisierung, Benachrichtigung, Integrationen und Retesting werden in einem wiederholbaren Scanprozess umgesetzt.

Die angesetzte Dauer von 3 tage ist fachlich erforderlich, weil ein sicherer Produktivbetrieb neben der Konfiguration auch Authentisierung, Abdeckungsprüfung, Befundvalidierung, Integration und praktische Fehlerbehandlung umfasst.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Onboarding und Scope
5. Authentisierung und Sitzungen
6. Scanprofile für Web und API
7. Abdeckung und Qualitätskontrolle
8. Befundvalidierung und Priorisierung
9. Integrationen und Regelbetrieb
10. Praxisübungen

Zielgruppe und Voraussetzungen

Zielgruppe: Application Security, Web- und API-Entwicklung, DevSecOps, Security Engineering, Vulnerability Management und technische Anwendungsverantwortliche.

Voraussetzungen: Gute Kenntnisse zu HTTP, Webanwendungen, APIs und Authentisierung; Zugriff auf eine freigegebene Testanwendung mit mehreren Rollen ist empfohlen.

Lernziele

• Web- und API-Ziele korrekt für Neuron onboarden.
• Scanprofile, Authentisierung und Zeitplanung risikobasiert konfigurieren.
• Abdeckung und Scanqualität methodisch überprüfen.
• Findings plausibilisieren, priorisieren und zuständigen Teams zuweisen.
• Retests und Integrationen für einen dauerhaften Betrieb etablieren.

Seminarinhalte

1. Onboarding und Scope

Ein sauberer Start verhindert Fehlscans und unvollständige Abdeckung.

1. Anwendung, API, Umgebung und technische Abhängigkeiten erfassen.
2. Produktions- und Testsysteme eindeutig kennzeichnen.
3. Zulässige Pfade, Ausschlüsse, Rate Limits und Zeitfenster festlegen.
4. Owner, Kontakte und Eskalationswege hinterlegen.

2. Authentisierung und Sitzungen

Authentisierte Scans erhöhen die Tiefe, verlangen aber kontrollierte Zugangsdaten.

1. Rollen und erforderliche Testkonten bestimmen.
2. Login-Ablauf, Token oder Sitzung reproduzierbar konfigurieren.
3. Mehrfaktor- und Single-Sign-on-Szenarien organisatorisch vorbereiten.
4. Kontosperren, Ablaufzeiten und Berechtigungen vor dem Scan testen.

3. Scanprofile für Web und API

Profile werden an Technologie, Risiko und Betriebsumgebung angepasst.

1. Crawling-Tiefe und Eingabepunkte für Webanwendungen festlegen.
2. OpenAPI-, WSDL- oder GraphQL-Informationen für APIs bereitstellen.
3. Prüfintensität, Parallelität und Schonzeiten kalibrieren.
4. Wiederkehrende und ereignisgesteuerte Scans terminieren.

4. Abdeckung und Qualitätskontrolle

Ein erfolgreicher Scanlauf ist nicht automatisch ein vollständiger Test.

1. Erreichte Seiten, Endpunkte, Rollen und Funktionen gegen den Scope prüfen.
2. Fehler, Timeouts, Schutzsystemblockaden und Authentisierungsabbrüche analysieren.
3. Ungeprüfte Bereiche und technische Grenzen dokumentieren.
4. Scanprofil anpassen und eine belastbare Baseline herstellen.

5. Befundvalidierung und Priorisierung

Automatisierte Ergebnisse werden vor der Übergabe fachlich bewertet.

1. Evidenz und Reproduktionsinformationen prüfen.
2. Duplikate und gemeinsame Ursachen konsolidieren.
3. Schweregrad mit Exposition, Datenwirkung und Geschäftsbezug ergänzen.
4. Bearbeiter, Frist und Retest-Anforderung festlegen.

6. Integrationen und Regelbetrieb

Neuron wird in die vorhandene Sicherheits- und Entwicklungsorganisation eingebettet.

1. Ticket-, CI/CD-, SIEM-, WAF- und Benachrichtigungsziele auswählen.
2. Tokens, Rollen und Datenfelder sicher konfigurieren.
3. Statusübergänge und Fehlerbehandlung testen.
4. Kennzahlen zu Abdeckung, Stabilität, Befundalter und Risikoreduktion etablieren.

Praxisübungen

• Onboarding einer Beispielanwendung mit Scope- und Sicherheitsgrenzen.
• Konfiguration eines authentisierten Web- oder API-Scans.
• Analyse eines unvollständigen Scanlaufs.
• Validierung, Priorisierung und Retest-Planung ausgewählter Findings.

Im Rahmen der Übungen entsteht ein produktionsreifes Neuron-Betriebskonzept mit Scope, Profilen, Authentisierung, Qualitätskontrolle, Integrationen und Kennzahlen.