DAST für laufende Webanwendungen und APIs | Anexia

Ein dynamischer Test benötigt mehr als eine Startadresse. Anmeldung, Sitzungswechsel und fachliche Zustände entscheiden darüber, welche Funktionen erreichbar sind. Wir prüfen deshalb, ob Testkonten die vorgesehenen Rollen besitzen und ob die benötigten Datenzustände vorbereitet werden können. Ein Scanbericht ohne diese Abdeckungsprüfung kann wesentliche Anwendungsteile übersehen.

Verändernde Requests werden mit kontrollierten Daten ausgeführt. Nach einem Test muss die Umgebung bei Bedarf wieder in einen definierten Zustand zurückgeführt werden können. Lastgrenzen, externe Abhängigkeiten und Abbruchwege werden vorher vereinbart. Ein gefundener Fehler wird mit reproduzierbaren Requests und dem relevanten Rollenkontext dokumentiert. Die Wiederholungsprüfung erfolgt nach der Korrektur. So wird aus einem automatischen Suchlauf ein nachvollziehbarer Prüfprozess, dessen Aussagekraft für die konkrete Anwendung erkennbar bleibt.

Wir beginnen die Laufzeitsicherheitsprüfung mit den Diensten und Daten, deren Beeinträchtigung konkrete Folgen hätte. Daraus ergibt sich, welche Angriffspfade und Fehlkonfigurationen zuerst betrachtet werden. Eine lange Liste gleichermaßen priorisierter Kontrollen hilft einem Entwicklungsteam wenig. Wir verbinden Befunde mit Erreichbarkeit, Geschäftsrelevanz und vorhandenen Schutzmaßnahmen. Diese Bewertung bleibt dokumentiert und kann bei neuen Informationen angepasst werden. Für die DAST-Integration entstehen dadurch nachvollziehbare Entscheidungen über Blockierung, Behebung oder befristete Akzeptanz. Ein technischer Schweregrad ist ein wichtiger Eingangswert, aber nicht die vollständige Entscheidung. Besonders kritische Annahmen werden praktisch geprüft, damit Ressourcen auf tatsächliche Risiken konzentriert werden.

Für die dynamische Sicherheitsprüfung betrachten wir technische Identitäten ebenso sorgfältig wie Benutzerkonten. Ein automatisierter Prozess benötigt häufig andere Rechte als ein menschlicher Administrator. Wir beschreiben deshalb, welche Aufgabe ein Konto erfüllt, welche Ressourcen es erreichen darf und wie seine Berechtigung entzogen wird. Gemeinsame Zugänge erschweren die Zuordnung von Aktionen und werden nach Möglichkeit aufgelöst. Besonders weitreichende Rechte erhalten zusätzliche Kontrolle und einen nachvollziehbaren Einsatzzweck. Bei der Durchführung von DAST-Tests prüfen wir auch die Übergänge zwischen Entwicklungs-, Test- und Produktivumgebungen. Ein unkritisch wirkender Zugang im Buildprozess kann sonst mittelbar Produktionsrechte eröffnen. Entscheidend ist die wirksame Begrenzung des gesamten Zugriffspfads.

In realen Umgebungen kann die Laufzeitsicherheitsprüfung begründete Ausnahmen benötigen. Ein notwendiges Update ist möglicherweise noch nicht kompatibel oder ein kurzfristiger Betrieb erfordert eine zusätzliche Schutzmaßnahme. Solche Fälle werden ausdrücklich dokumentiert. Die Ausnahme benennt betroffene Systeme, Begründung, kompensierende Maßnahmen, verantwortliche Person und Überprüfungstermin. Sie darf nicht als unsichtbare Deaktivierung einer Regel bestehen bleiben. Wir gestalten den Ablauf so, dass berechtigte Entscheidungen möglich sind und offene Risiken trotzdem nachvollziehbar bleiben. Für die DAST-Integration entsteht dadurch eine belastbare Verbindung zwischen technischem Befund und unternehmerischer Verantwortung. Änderungen an der Ausgangslage lösen eine erneute Bewertung aus, statt die ursprüngliche Entscheidung unbegrenzt fortzuschreiben.

Ein Werkzeug kann bei der dynamischen Sicherheitsprüfung nur dann dauerhaft helfen, wenn seine Ergebnisse verständlich und bearbeitbar sind. Wir betrachten deshalb nicht allein die Erkennungsrate, sondern auch Relevanz, Reproduzierbarkeit und Zustellung der Meldungen. Wiederkehrende Fehlalarme werden untersucht und gezielt behandelt. Eine pauschale Unterdrückung großer Befundgruppen kann wichtige Signale verlieren lassen. Entwickler erhalten möglichst konkrete Hinweise auf Ursache und betroffenen Verarbeitungspfad. Bei unklarer Bewertung wird ein definierter fachlicher Prüfweg vorgesehen. Die Durchführung von DAST-Tests wird dadurch Teil der täglichen Arbeit. Die Zahl der Meldungen kann sinken, während ihre praktische Aussagekraft steigt und kritische Befunde zuverlässiger bearbeitet werden.

Aktive Prüfungen im Rahmen von der Laufzeitsicherheitsprüfung benötigen einen ausdrücklich vereinbarten Umfang. Zielsysteme, Testdaten, Belastungsgrenzen und Ansprechpartner werden vor der Ausführung festgelegt. Eine produktionsnahe Umgebung ist hilfreich, muss aber keine unkontrollierte Kopie personenbezogener Daten enthalten. Wir prüfen, ob die Umgebung die relevanten Rollen und Integrationen ausreichend abbildet. Ergebnisse aus einer vereinfachten Testlandschaft werden mit ihren Grenzen dokumentiert. Für die DAST-Integration werden außerdem Abbruchkriterien vereinbart, damit unerwartete Auswirkungen rasch begrenzt werden können. Die technische Untersuchung bleibt dadurch nachvollziehbar und sicher ausführbar. Erkenntnisse fließen in konkrete Korrekturen und wiederholbare Prüfungen ein.

Abhängigkeiten sind bei der dynamischen Sicherheitsprüfung ein eigener Teil der Verantwortung. Wir betrachten Herkunft, Version, Wartungszustand und den Weg in das ausgelieferte Produkt. Änderungen externer Komponenten sollten nicht unbemerkt von unterschiedlichen Entwicklungsumgebungen abhängen. Geeignete Versionsbindungen und nachvollziehbare Bezugsquellen unterstützen reproduzierbare Ergebnisse. Gleichzeitig braucht es einen praktikablen Aktualisierungsprozess, damit eine feste Version nicht dauerhaft veraltet bleibt. Für die Durchführung von DAST-Tests wird festgelegt, wie neue Sicherheitsinformationen dem tatsächlichen Bestand zugeordnet werden. Technische und rechtliche Fragen können dabei unterschiedliche Fachstellen benötigen. Die gemeinsame Grundlage ist eine verlässliche Übersicht dessen, was tatsächlich verwendet und an Kunden geliefert wird.

Er eignet sich für wiederholbare Standardprüfungen. Komplexe Geschäftslogik und verkettete Angriffswege können eine ergänzende manuelle Untersuchung erfordern. Für die dynamische Sicherheitsprüfung wird die Antwort anhand Ihrer konkreten Umgebung präzisiert. Entscheidend sind die überprüfbaren Voraussetzungen des Vorhabens.

Für die Durchführung von DAST-Tests helfen eine kurze Beschreibung des betroffenen Ablaufs, die wichtigsten Systeme und bekannte Einschränkungen. Vertrauliche Unterlagen können nach Abstimmung über einen geeigneten Kanal bereitgestellt werden. Ein vollständiges Lastenheft ist für den ersten Austausch nicht erforderlich. Wir benennen anschließend, welche Informationen die technische Bewertung tatsächlich noch benötigt.

Für die dynamische Sicherheitsprüfung werden die vereinbarten Ergebnisse, Prüfungen und offenen Punkte dokumentiert. Dazu gehören die relevante Konfiguration und die Voraussetzungen ihrer Nutzung. Der Umfang richtet sich nach dem Auftrag. Eine Abnahme soll erkennen lassen, was überprüft wurde, welche Einschränkungen bestehen und wer die verbleibenden Aufgaben übernimmt.

Bei der Durchführung von DAST-Tests beschränken wir benötigte Informationen und Zugriffe auf den vereinbarten Zweck. Rollen, Datenwege und die Beendigung von Zugängen werden abgestimmt. Wenn personenbezogene Daten oder besonders geschützte Inhalte betroffen sind, werden die zuständigen Fachstellen einbezogen. Die technische Umsetzung orientiert sich an den daraus festgelegten Anforderungen.