Seminar OWASP ZAP – Access-Control-Tests und Benutzerkontexte

Zugriffskontrollen lassen sich nicht zuverlässig mit einem einzelnen automatischen Scan bewerten. Erforderlich sind ein fachliches Rollenmodell, getrennte Identitäten, klar definierte Ressourcen und eine nachvollziehbare Vergleichslogik.

Die Schulung verbindet die Benutzer- und Kontextfunktionen von ZAP mit manuellen und add-on-gestützten Prüfverfahren. Dadurch entstehen belastbare Aussagen zu horizontaler, vertikaler und objektbezogener Autorisierung.

Inhaltsübersicht

1. Seminarziel und Arbeitsweise
2. Schutzobjekte und Rollenmodell erfassen
3. Contexts, Benutzer und Sitzungen vorbereiten
4. Zugriffsregeln und Prüfbereich konfigurieren
5. Horizontale und vertikale Autorisierung testen
6. Objektbezogene API-Zugriffe prüfen
7. Befunde validieren und dokumentieren
8. Regressionstests vorbereiten
9. Praxisübungen und Arbeitsaufträge
10. Zielgruppe, Voraussetzungen und Arbeitsumgebung

Seminarziel

Aufbau eines reproduzierbaren Prüfverfahrens, das Rollen, Benutzer, Objekte und Aktionen systematisch gegeneinander abgleicht und unzulässige Zugriffe eindeutig nachweist.

Arbeitsweise

Vortrag, Demonstrationen und praktische Übungen werden in kurzen Arbeitszyklen verbunden. Jeder Themenblock beginnt mit einem klar abgegrenzten Testziel, führt über die Konfiguration und Durchführung zur fachlichen Prüfung und endet mit dokumentierten Kontrollpunkten. Belastende oder angreifende Funktionen werden ausschließlich in ausdrücklich freigegebenen Labor- und Zielumgebungen eingesetzt.

Schrittweise Seminarinhalte

1. Schutzobjekte und Rollenmodell erfassen

Zu Beginn wird die fachliche Grundlage für den Test geschaffen. Ressourcen, Aktionen, Rollen und Besitzverhältnisse werden in einer Testmatrix zusammengeführt.

1. Anwendungsbereiche, sensible Funktionen und schützenswerte Objekte inventarisieren.
2. Rollen, Mandanten, Besitzbeziehungen und administrative Sonderrechte dokumentieren.
3. Erwartete Zugriffe für Lesen, Ändern, Löschen und Ausführen festlegen.
4. Negative Testfälle und besonders kritische Rollenwechsel priorisieren.

Kontrollpunkte: Jede Testzeile besitzt ein eindeutiges Soll-Ergebnis; fachliche Ausnahmen sind vor dem Scan geklärt.

2. Contexts, Benutzer und Sitzungen vorbereiten

ZAP benötigt getrennte Kontexte und Benutzeridentitäten, damit dieselbe Ressource aus verschiedenen Berechtigungsperspektiven geprüft werden kann.

1. Zielanwendung in einen abgegrenzten Context aufnehmen.
2. Session-Management und Authentifizierung passend zur Anwendung konfigurieren.
3. Testbenutzer für Standardrolle, erhöhte Rolle und nicht berechtigte Rolle anlegen.
4. Anmeldeindikatoren prüfen und automatische Neuanmeldung kontrollieren.

Kontrollpunkte: Jeder Benutzer erzeugt eine stabile, getrennte Sitzung; abgemeldete Zustände werden zuverlässig erkannt.

3. Zugriffsregeln und Prüfbereich konfigurieren

Die Access-Control-Konfiguration bildet die fachliche Matrix in ZAP ab und begrenzt die Prüfung auf relevante Ressourcen.

1. URLs und Knoten den erwarteten Rollenrechten zuordnen.
2. Öffentliche, geschützte und administrative Bereiche kennzeichnen.
3. Ausnahmen für technische Endpunkte begründen und dokumentieren.
4. Prüftiefe und Reihenfolge an Risiko und Datenmenge anpassen.

Kontrollpunkte: Keine produktionskritischen Aktionen werden unbeabsichtigt ausgeführt; die Zuordnung deckt alle priorisierten Ressourcen ab.

4. Horizontale und vertikale Autorisierung testen

Die eigentlichen Rollenwechsel werden kontrolliert ausgeführt und anhand von Status, Inhalt und Zustandsänderung bewertet.

1. Anfragen eines berechtigten Benutzers als Referenz erfassen.
2. Identität bei unverändertem Objekt und unveränderter Aktion wechseln.
3. Vertikale Wechsel von Standard- zu Administrationsfunktionen prüfen.
4. Antworten, Seiteneffekte und nachgelagerte Zustände miteinander vergleichen.

Kontrollpunkte: Erfolg wird nicht nur über HTTP-Statuscodes beurteilt; Seiteneffekte werden durch erneutes Lesen verifiziert.

5. Objektbezogene API-Zugriffe prüfen

Moderne Anwendungen transportieren Objektkennungen häufig in Pfaden, JSON-Strukturen oder GraphQL-Variablen. Diese Stellen werden gezielt variiert.

1. Objektkennungen und Mandantenbezüge in Requests lokalisieren.
2. Fremde, nicht existente und grenzwertige Kennungen einsetzen.
3. Lesende und schreibende Operationen getrennt bewerten.
4. Fehlertexte, Metadaten und Zeitverhalten auf Informationsabfluss prüfen.

Kontrollpunkte: Testdaten sind eindeutig verschiedenen Besitzern zugeordnet; keine Änderung bleibt unbemerkt in der Anwendung bestehen.

6. Befunde validieren und dokumentieren

Automatische Hinweise werden durch reproduzierbare Beweise ergänzt. Ein Befund enthält fachliche Wirkung, technischen Nachweis und klare Abgrenzung.

1. Jeden Verdacht mit minimalem reproduzierbarem Request bestätigen.
2. Autorisierungsfehler von Authentifizierungs- und Sitzungsfehlern trennen.
3. Beweisrequest, Antwortausschnitt und betroffene Rolle sichern.
4. False Positives über dokumentierte Filter statt pauschaler Unterdrückung behandeln.

Kontrollpunkte: Der Nachweis funktioniert in einer frischen Sitzung; die Auswirkung ist fachlich verständlich beschrieben.

7. Regressionstests vorbereiten

Wiederkehrende Zugriffstests werden in stabile Abläufe überführt, ohne die fachliche Kontrolle vollständig zu automatisieren.

1. Kernfälle als wiederholbare Requests oder Sequenzen sichern.
2. Testidentitäten und Testdaten versionierbar beschreiben.
3. Automatisierbare Kontrollen von manuellen Freigabetests trennen.
4. Abbruchkriterien und Eskalationswege für kritische Treffer definieren.

Kontrollpunkte: Tests sind unabhängig von persönlichen Sitzungen ausführbar; Änderungen am Rollenmodell lösen eine Aktualisierung der Matrix aus.

Praxisübungen und Arbeitsaufträge

• Aufbau einer Rollen- und Objektmatrix für eine mehrstufige Beispielanwendung
• Konfiguration dreier Benutzerkontexte mit getrennten Sitzungen
• Nachweis eines horizontalen Objektzugriffs und eines vertikalen Rollenwechsels
• Erstellung eines prüffähigen Befunds mit Reproduktionsschritten und Gegenprobe

Zielgruppe

Penetration Tester, Application-Security-Teams, Security Engineers, technische Qualitätssicherung und Entwickler mit Verantwortung für Autorisierung

Voraussetzungen

Sichere ZAP-Grundlagen, Verständnis von HTTP, Authentifizierung und rollenbasierten Anwendungskonzepten

Arbeitsumgebung

Verwendet werden eine isolierte ZAP-Installation oder ein geeigneter Container, ein getrenntes Browserprofil, eine ausdrücklich freigegebene Laboranwendung, vorbereitete Testkonten und versionskontrollierbare Konfigurationsdateien. Produktive Ziele, persönliche Konten und nicht genehmigte Drittsysteme sind ausgeschlossen.