Seminar Probely Integration mit Snyk Code – SAST und DAST korrelieren

Dynamische Befunde zeigen beobachtbares Laufzeitverhalten, statische Analyse zeigt mögliche Ursachen im Quellcode. Erst eine saubere Zuordnung von Anwendung, Ziel, Repository und Version schafft belastbaren Zusammenhang. Das Seminar richtet einen nachvollziehbaren Arbeitsablauf ein, ohne aus bloßer Ähnlichkeit eine vermeintliche Gewissheit zu machen.

Inhaltsübersicht

• Nutzen und Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Einordnung im Lernpfad

Nutzen und Lernziele

• Unterschiede und Ergänzungen von SAST und DAST fachlich erklären
• Anwendung, Ziel, Repository, Branch und Version korrekt zuordnen
• Korrelierte Befunde anhand von Evidenz und Codekontext validieren
• Prioritäten durch Laufzeitnachweis und erreichbaren Codepfad schärfen
• Entwicklerübergabe und Fehlerbehebung mit beiden Sichtweisen verbessern
• Grenzen, Fehlzuordnungen und nicht korrelierbare Befunde transparent behandeln

Zielgruppe

AppSec-Teams, Snyk-Plattformverantwortliche, Entwickler, Security Champions, DevSecOps-Engineers und Schwachstellenmanager

Voraussetzungen

Grundkenntnisse in Probely-Findings und statischer Codeanalyse sowie Zugriff auf ein vorbereitetes Snyk-Code-Projekt und ein zugehöriges Testziel.

Seminarinhalte

Modul 1: SAST- und DAST-Sicht trennen

1. Statische potenzielle Datenflüsse und dynamisch beobachtete Angriffe unterscheiden
2. Stärken und blinde Flecken beider Verfahren festhalten
3. Gemeinsame Identifikatoren für Anwendung, Komponente und Version bestimmen
4. Korrelation als unterstützende Evidenz statt als automatische Wahrheit definieren

Modul 2: Projekt- und Zielzuordnung

1. Probely-Ziel dem korrekten Repository und Projekt zuordnen
2. Branch, Deploymentversion und Buildinformationen erfassen
3. Monorepos, mehrere Dienste und geteilte Endpunkte gesondert modellieren
4. Zuordnung mit einer kontrollierten Beispieländerung verifizieren

Modul 3: Korrelierte Findings untersuchen

1. Dynamischen Endpoint und beobachtete Payload erfassen
2. Vorgeschlagenen Codepfad und Quelle-Senke-Beziehung prüfen
3. Version und Deploymentstand gegen den analysierten Code abgleichen
4. Korrelation bestätigen, einschränken oder mit Begründung verwerfen

Modul 4: Priorisierung und Entwicklerübergabe

1. Laufzeitnachweis, Erreichbarkeit und Codekontext zusammenführen
2. Reparaturort und betroffene Komponente klar benennen
3. Reproduktionsschritt, relevanten Codepfad und erwartetes Verhalten dokumentieren
4. Ticket oder Arbeitsauftrag dem tatsächlich zuständigen Team zuweisen

Modul 5: Behebung und geschlossener Nachweis

1. Codeänderung zunächst statisch erneut prüfen
2. Korrigierte Version in die freigegebene Testumgebung ausrollen
3. Dynamischen Retest gegen denselben Endpoint durchführen
4. Abschluss nur bei konsistentem statischem und dynamischem Ergebnis dokumentieren

Modul 6: Grenzen und Betriebsregeln

1. Nicht korrelierbare Findings weiterhin vollständig bearbeiten
2. Fehlzuordnungen durch veraltete Branches oder falsche Deployments kennzeichnen
3. Zugriffsrechte auf Code- und Laufzeitdaten minimal halten
4. Regelmäßige Qualitätsprüfung der Zuordnungen und Korrelationsergebnisse einplanen

Praxisübungen

• Zuordnung eines Probely-Ziels zu Repository, Branch und Deployment
• Validierung einer vorgeschlagenen SAST-DAST-Korrelation
• Erstellung eines entwicklergerechten Arbeitsauftrags mit Laufzeit- und Codekontext
• Durchspielen einer Fehlzuordnung durch veralteten Deploymentstand
• Geschlossene Nachprüfung nach einer Beispielkorrektur

Einordnung im Lernpfad

Empfohlen nach Findings-Triage und mit vorhandener Snyk-Code-Erfahrung. Für automatisierte Übergaben und Pipelineeinbindung folgen CI/CD- oder Integrationsseminare.