Seminar MobSF Kompaktseminar: Mobile App Security Assessment

Seminarprofil

Das Kompaktseminar bündelt die wichtigsten Arbeitsschritte für ein praxisnahes Mobile-App-Sicherheitsassessment. Es vermittelt Installation und Bedienung auf Arbeitsebene, statische Android- und iOS-Analyse, einen vorbereiteten dynamischen Android-Test, Befundverifikation und Reporting. Die dreitägige Form ist für Teams geeignet, die einen belastbaren Gesamtüberblick benötigen, ohne die Tiefe der spezialisierten Einzel- und Intensivseminare anzustreben.

Inhaltsübersicht

• Plattform und Assessment-Rahmen
• Android statisch
• iOS statisch
• Android dynamisch
• Triage und Bericht
• Weiterführende Nutzung

Lernziele

• MobSF für typische Assessment-Aufgaben sicher bedienen
• Android- und iOS-Artefakte statisch untersuchen und zentrale Befunde verifizieren
• einen vorbereiteten dynamischen Android-Test mit Netzwerkbeobachtung durchführen
• Ergebnisse priorisieren und als kompakten Sicherheitsbericht dokumentieren

Seminarinhalte

Modul 1: Plattform und Assessment-Rahmen

1. Schritt 1: Einsatzfelder, Grenzen, Schutzbedarf und zulässige Testhandlungen klären.
2. Schritt 2: Eine vorbereitete MobSF-Instanz prüfen und Artefakte sicher übernehmen.
3. Schritt 3: Scanqualität, Protokolle und Analysebereiche kontrollieren.
4. Schritt 4: Einen einfachen Assessment-Plan für Android und iOS festlegen.

Modul 2: Android statisch

1. Schritt 1: Manifest, Berechtigungen und exponierte Komponenten analysieren.
2. Schritt 2: Code-, Geheimnis-, Zertifikats- und Bibliotheksbefunde sichten.
3. Schritt 3: Zwei priorisierte Findings manuell verifizieren.
4. Schritt 4: Dynamische Android-Testhypothesen ableiten.

Modul 3: iOS statisch

1. Schritt 1: Bundle, Plist, Entitlements und Datenschutzangaben prüfen.
2. Schritt 2: ATS, Mach-O, Frameworks und Codebefunde einordnen.
3. Schritt 3: False Positives und Analysegrenzen markieren.
4. Schritt 4: Geeignete iOS-Folgetests formulieren.

Modul 4: Android dynamisch

1. Schritt 1: Vorbereiteten Emulator und MobSF-Verbindung kontrollieren.
2. Schritt 2: App installieren und definierten Bedienpfad ausführen.
3. Schritt 3: Lokale Daten, Logs, Komponenten und Netzverkehr beobachten.
4. Schritt 4: Einen statischen Befund durch dynamischen Test bestätigen oder verwerfen.

Modul 5: Triage und Bericht

1. Schritt 1: Automatische Schweregrade mit Exposition und Ausnutzbarkeit abgleichen.
2. Schritt 2: Bestätigt, unklar und nicht relevant eindeutig kennzeichnen.
3. Schritt 3: Abhilfe und Nachtest für die wichtigsten Findings formulieren.
4. Schritt 4: Managementübersicht und technische Befundliste erstellen.

Modul 6: Weiterführende Nutzung

1. Schritt 1: Bedarf an Administration, API, CI/CD oder Regelanpassung identifizieren.
2. Schritt 2: Android- und iOS-Spezialisierung nach vorhandenen Apps auswählen.
3. Schritt 3: Intensivpfad oder Einzelseminare passend zur Rolle zuordnen.
4. Schritt 4: Einen internen Einführungsplan für wiederkehrende Assessments entwerfen.

Praxisübungen

• Statisches Assessment je eines Android- und iOS-Artefakts
• Vorbereiteter dynamischer Android-Test mit Proxy und Befundabgleich
• Erstellung eines kompakten Assessment-Berichts

Zielgruppe

AppSec-Teams, Entwickler, Tester, Security Consultants und technische Projektverantwortliche, die einen kompakten Gesamtüberblick benötigen.

Vorkenntnisse

Allgemeine Anwendungssicherheitskenntnisse und sicherer Umgang mit einem Betriebssystem. Tiefe Android-, iOS- oder MobSF-Vorkenntnisse sind nicht erforderlich.