Entwicklung einer Testumgebung zur Bewertung von Schwachstellenscannern

Webanwendungen haben in den letzten Jahren kontinuierlich an Bedeutung gewonnen. Wo früher spezialisierte Client-Software Zugriff auf zentralisierte Informationen sowie die entsprechende assoziierte Funktionalität geboten haben, kommen heute immer öfter Lösungen zum Einsatz, die einen Web-Browser als gemeinsame Basis verwenden. Sicherheitsproblematiken, die durch die Verwendung neuer Technologien zur Erzeugung dynamischer Inhalte entstehen, gewinnen dabei jedoch gleichermaßen an Bedeutung. Automatisierte Schwachstellenscanner für Webapplikationen bieten einen möglichen Ansatz zur Bewältigung derselben. Obwohl das Angebot an entsprechenden Produkten vergleichsweise umfangreich ist, existieren wenige Ansätze zur strukturierten Beurteilung ihrer Leistungsfähigkeit. Ziel dieser Arbeit ist es, eine solche zu ermöglichen. Dazu werden zunächst die wichtigsten technischen Grundlagen von Web-Anwendungen erläutert. Anschließend werden ausgewählte Klassen von charakteristischen Sicherheitslücken sowie der typische Aufbau eines Schwachstellenscanners betrachtet. Im Folgenden wird auf existierende Anwendungen, die zur Beurteilung der Leistungsfähigkeit von Schwachstellenscannern herangezogen werden können, eingegangen. Anhand dieser Betrachtungen wird eine Menge von Anforderungen an Prüfwerkzeuge und Testanwendungen abgeleitet. Es folgt die Dokumentation einer realen Testumgebung, innerhalb derer in verschiedenen Testfällen die zuvor gewonnenen Erkenntnisse umgesetzt wurden. Schließlich werden einige allgemeine Richtlinien bzgl. der Vorgehensweise bei der praktischen Durchführung der Tests dargelegt.