Bei IT Sonix befassen wir uns regelm\u00e4\u00dfig mit neuen Testmethoden, um unseren Anspr\u00fcchen an qualitativ hochwertige Software gerecht zu werden. Vor kurzem haben unsere Xperten das Tool ZAP by Checkmarx (Zed Attack Proxy) genauer unter die Lupe genommen und f\u00fcr den Projekteinsatz evaluiert. Softwareentwicklung mit KI ist mittlerweile in deutschen Unternehmen angekommen und damit steigt auch die Zahl an Softwareprodukten am Markt. Hohe Geschwindigkeiten und gesteigertes Output k\u00f6nnen die Fehleranf\u00e4lligkeit erh\u00f6hen. Reviewprozesse werden damit noch wichtiger, als sie es bisher waren.<\/p>\n\n\n\n
Auch wir bei IT Sonix arbeiten mit KI und entwickeln dar\u00fcber hinaus eigene KI-L\u00f6sungen, um unseren Kunden die bestm\u00f6gliche Software zu liefern. Unsere Qualit\u00e4tssicherung sorgt daf\u00fcr, dass unsere Anwendungen sicher sind und unsere Kunden diese ohne Bedenken der breiten Masse zur Verf\u00fcgung stellen k\u00f6nnen.<\/p>\n\n\n\n
Sicherheitsprobleme werden meist schnell teuer und die beste Methode ihnen zu begegnen ist: Sie gar nicht erst entstehen zu lassen.<\/p>\n\n\n\n
ZAP ist ein Open-Source-Projekt, das urspr\u00fcnglich im Umfeld des OWASP (Open Worldwide Application Security Project) entstanden ist und seit 2024 von Checkmarx weiterentwickelt wird. Die Anwendung ist kostenfrei und eignet sich vor allem f\u00fcr Web- und API-Security-Tests.<\/p>\n\n\n\n
Dank seiner Plattformunabh\u00e4ngigkeit l\u00e4sst sich ZAP sowohl unter Windows als auch unter macOS und Linux einsetzen. Der Funktionsumfang und die leichte Bedienung machen es f\u00fcr Einsteigende, professionelle Pentester und Entwickelnde gleicherma\u00dfen attraktiv. ZAP unterst\u00fctzt ma\u00dfgeblich beim Auffinden typischer Web-Schwachstellen wie:<\/p>\n\n\n\n
Die Anwendung geh\u00f6rt zu den sogenannten DAST-Tools (Dynamic Application Security Testing). Diese Sicherheitsl\u00f6sungen untersuchen Webanwendungen und APIs von au\u00dfen auf Schwachstellen, ohne den Quellcode zu kennen. Sie simulieren Hackerangriffe (z. B. SQL-Injection, XSS), um Laufzeitprobleme zu identifizieren.<\/p>\n\n\n\n
Bei unseren Tests erwies sich ZAP vor allem f\u00fcr die Sicherheits\u00fcberpr\u00fcfung klassischer Webanwendungen wie Single Page Applications (SPA) und der Durchf\u00fchrung von API-Tests (REST, SOAP-Schnittstellen) als verl\u00e4sslicher Partner. Auch bei der Unterst\u00fctzung von Bug-Bounty-Aktivit\u00e4ten kann das Tool punkten. Dar\u00fcber hinaus eignet sich ZAP hervorragend f\u00fcr Schulungen und Trainings im Bereich Web-Security.<\/p>\n\n\n\n
Das Tool arbeitet als Man-in-the-Middle zwischen Browser und Zielanwendung (Web Application). Es zeichnet HTTP(S)-Requests und Responses auf und analysiert diese. ZAP erm\u00f6glicht eine manuelle oder automatisierte Auswertung sowie das Replay von Requests. Auch das sogenannte Fuzzing, also die automatisierte Ver\u00e4nderung von Variablen in Requests, ist mit ZAP m\u00f6glich.<\/p>\n\n\n\n
Die Bedienung erfolgt \u00fcber drei Interfaces:<\/p>\n\n\n\n
Die Hauptfunktion ist die Intercepting Proxy mit History-Ansicht. Hier sehen Nutzende alle Requests und k\u00f6nnen diese modifizieren, inspizieren und ausf\u00fchren. Hinzukommen Spider und AJAX-Crawler zur automatisierten Pfaderkennung f\u00fcr Black-Box-Testing.<\/p>\n\n\n\n
Der AJAX-Crawler in ZAP wurde speziell daf\u00fcr gebaut, SPAs und andere dynamisch nachladende Seiten zu durchsuchen. Ein gew\u00f6hnlicher Crawler (ein Programm, das automatisch Links auf einer Website verfolgt) w\u00fcrde bei einer SPA nicht alle Inhalte finden, weil vieles erst durch Klicks und Interaktionen sichtbar wird. Der AJAX-Crawler simuliert diese Interaktionen.<\/p>\n\n\n\n
Eine weitere hilfreiche Funktion ist die Durchf\u00fchrung von Scans. Hier unterscheidet ZAP passive und aktive Scanner.<\/p>\n\n\n\n
Passiver Scan:<\/strong><\/p>\n\n\n\n Aktiver Scan:<\/strong><\/p>\n\n\n\n Hinzukommen unterschiedliche Scan-Arten:<\/p>\n\n\n\n W\u00e4hrend automatisierte Scans regelm\u00e4\u00dfig ausgef\u00fchrt werden und breitfl\u00e4chig angelegt sind, gehen manuelle Scans in die Tiefe. Beide Methoden sind eine umfassende Sicherheitsbewertung.<\/p>\n\n\n\n Automatisierter Scan<\/strong><\/p>\n\n\n\n Manuelles Explorieren<\/strong><\/p>\n\n\n\n Dar\u00fcber hinaus kann ZAP \u00fcber Marktplatz Add-ons erweitert werden. Unsere Xperten empfehlen:<\/p>\n\n\n\n Immer schnellere Entwicklungszyklen, kurze Release-Abst\u00e4nde sowie automatisierte Deployments haben die moderne Softwarelandschaft nachhaltig ver\u00e4ndert. Damit steigt auch die Gefahr, Sicherheitsl\u00fccken im Reviewprozess zu \u00fcbersehen. DevSecOps sorgt daf\u00fcr, dass Sicherheitsaspekte nicht am Ende gepr\u00fcft, sondern fr\u00fchzeitig und automatisiert im Entwicklungsprozess integriert werden.<\/p>\n\n\n\n Die ZAP-REST-API erm\u00f6glicht eine weitgehende Automatisierung von Scans und erg\u00e4nzt den DevOps-Entwicklungsprozess um wichtige Security-Scans. Das ist ein wichtiger Schritt in Richtung DevSecOps. ZAP bietet einen Headless-Modus f\u00fcr nicht-interaktive Build-Pipelines. Die Option Reports (HTML, XML, JSON) zu exportieren, unterst\u00fctzt Dokumentation und Tracking. ZAP kann f\u00fcr Scans in den Testsystemen verwendet, aber auch als Quality Gate im Entwicklungsprozess integriert werden. Somit kann das Tool bereits innerhalb des Pull-Requests Informationen zur Sicherheit der Implementierung liefern. Das verschiebt die Erkennung von Problemen n\u00e4her an den Entwicklungsprozess und beschleunigt Fehlerbehebungen.<\/p>\n\n\n\n ZAP punktet vor allem durch sein kostenfreies Open-Source-Modell. Zudem ist es flexibel einsetzbar und verf\u00fcgt \u00fcber eine gro\u00dfe Community. Dadurch ist es \u00e4u\u00dferst leistungsf\u00e4hig und bleibt immer am Puls der Zeit.<\/p>\n\n\n\n Die Anwendung ist eine solide Unterst\u00fctzung beim Aufsp\u00fcren klassischer Webschwachstellen und eignet sich gut f\u00fcr Trainings sowie erste Pentests. Grenzen zeigen sich bei logischen Schwachstellen (z. B. komplexe Business-Logik), aber auch bei mobilen Apps. Es ist wichtig die Ergebnisse nicht als vollautomatische Sicherheitsgarantie zu bewerten, da es sich lediglich um Hinweise handelt.<\/p>\n\n\n\n Unsere Xperten empfehlen die Tests nur auf Systemen mit ausdr\u00fccklicher Genehmigung durchzuf\u00fchren sowie Scope- und Scan-Policies bewusst einzuschr\u00e4nken. Aktive Scans sollten vorzugsweise in Test- oder Staging-Umgebungen durchgef\u00fchrt werden. F\u00fcr den produktiven Einsatz ist es wichtig, Ergebnisse zu priorisieren und systematisch in den n\u00e4chsten Sprints zu bearbeiten.<\/p>\n\n\n\n Dar\u00fcber hinaus sind regelm\u00e4\u00dfige Updates f\u00fcr ZAP und Add-ons unverzichtbar. Wer diese Punkte ber\u00fccksichtigt, verf\u00fcgt \u00fcber ein starkes Werkzeug zur Bewertung von Sicherheitsrisiken bei Webanwendungen.<\/p>\n\n\n\n Qualit\u00e4tssicherung ist kein Nice-to-have. Sie ist ma\u00dfgeblich an der Entwicklung exzellenter Software beteiligt. Seit \u00fcber 20 Jahren bauen wir bei IT Sonix hochwertige Softwarel\u00f6sungen und legen dabei gro\u00dfen Wert auf einen ganzheitlichen Entwicklungsprozess. Das Ergebnis stellt unsere Kunden zufrieden und verschafft ihnen den notwendigen technologischen Vorsprung, um auf dem schnelllebigen Markt bestehen zu k\u00f6nnen.<\/p>\n","protected":false},"excerpt":{"rendered":" Bei IT Sonix befassen wir uns regelm\u00e4\u00dfig mit neuen Testmethoden, um unseren Anspr\u00fcchen an qualitativ hochwertige Software gerecht zu werden. Vor kurzem haben unsere Xperten das Tool ZAP by Checkmarx (Zed Attack Proxy) genauer unter die Lupe genommen und f\u00fcr den Projekteinsatz evaluiert. Softwareentwicklung mit KI ist mittlerweile in deutschen Unternehmen angekommen und damit steigt […]<\/p>\n","protected":false},"author":4,"featured_media":962,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[5],"tags":[],"class_list":["post-961","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-softwareentwicklung"],"acf":[],"yoast_head":"\n\n
\n
\n
\n
\n
\n
Integration in CI\/CD und DevSecOps<\/h2>\n\n\n\n
Fazit<\/h2>\n\n\n\n