Curriculum für

Certified Professional for
Software Architecture (CPSA)^®
Advanced Level:
Modul
WEBSEC

Web Security

Das Modul kann unabhängig von einer CPSA-F-Zertifizierung besucht werden.

CPSA-A-Absolventen können:

Bei Entwurf und Entwicklung von Software gehören Sicherheitsanforderungen zu den wichtigsten Herausforderungen. Oftmals gibt es in IT-Systemen eine Vielzahl möglicher Angriffspunkte, die potenzielle Angreifer (mit entsprechendem Aufwand) erfolgreich ausnutzen könnten.

Häufig führt der Mangel an einfachen Grundkenntnissen zum Thema Sicherheit, hoher Zeitdruck oder Unachtsamkeit zu scheinbar kleinen Fehlern, die aber in punkto Sicherheit dann mit fatalen Folgen ausgenutzt werden können. Gerade Webanwendungen haben oft einen potentiell großen, weltweit verteilten Benutzerkreis mit Zugriff über das Internet. Dabei vergrößert sich der Kreis der Angreifer massiv und damit auch die Wahrscheinlichkeit, dass Fehler entdeckt und ausgenutzt werden. Außerdem sind Webanwendungen meistens schon kurz nach der Produktivstellung Opfer automatisierter Angriffsversuche. Informationssysteme werden gegebenenfalls nur von den eigenen Mitarbeitern genutzt und sind dadurch anderen Angriffsszenarien ausgesetzt. Embedded Systems schließlich sind mittlerweile fast überall zu finden, so dass Sicherheitsprobleme massive Auswirkungen haben können. Eine Möglichkeit für Updates ist gerade bei Embedded Systems nicht immer gegeben.

Wirft man einen Blick auf die häufigsten Angriffsmethoden, können diese meistens durch eine "saubere" Architektur und klare Kommunikation unterbunden werden. Dieser Lehrplan soll die etwas akademische Welt von Sicherheit in der Softwareentwicklung mit gängiger technischer Praxis verbinden.

Sicherheit kann nicht unabhängig von dem Einsatzkontext der Systeme betrachtet werden. Der Bezug auf Webanwendungen, Informationssystem oder Embedded Systems grenzt den Themenschwerpunkt ein und stellt sicher, dass die relevanten Informationen für die Sicherheit der jeweiligen Systeme vermittelt werden. Der Lehrplan fokussiert sich auf Webanwendungen, aber an den relevanten Stellen können stattdessen Inhalte zu Embedded Systems oder Informationssystemen eingefügt werden.

Dieser Lehrplan spart folgende Themenkomplexe aus:

Die unten genannten Zeiten sind Empfehlungen. Die Dauer einer Schulung zum Modul WEBSEC sollte mindestens 2 Tage betragen, kann aber länger sein. Anbieter können sich durch Dauer, Didaktik, Art und Aufbau der Übungen sowie der detaillierten Kursgliederung voneinander unterscheiden. Insbesondere die Art der Beispiele und Übungen lässt der Lehrplan komplett offen.

Lizenzierte Schulungen zu WEBSEC tragen zur Zulassung zur abschließenden Advanced-Level-Zertifizierungsprüfung folgende Credit Points) bei:

Die Voraussetzungen für das Training hängen von dem Bereich ab, auf den sich das Training fokussiert.

Beispielsweise sind die Voraussetzungen für Sicherheit im Web-Bereich:

Für Informationssystem und Embedded Systems ergeben sich andere Voraussetzungen. Grundkenntnisse über die Architektur und Implementierung solcher Systeme reichen jedoch aus.

Die einzelnen Abschnitte des Lehrplans sind gemäß folgender Gliederung beschrieben:

Dieser Abschnitt skizziert damit auch die zu erwerbenden Kenntnisse in entsprechenden Schulungen.

Soweit für das Verständnis des Lehrplans erforderlich, haben wir Fachbegriffe ins iSAQB-Glossar aufgenommen, definiert und bei Bedarf durch die Übersetzungen der Originalliteratur ergänzt.

Sicherheit in der Softwareentwicklung bedeutet oft einen höheren Aufwand bei Design, Entwicklung, Wartung und Betrieb einer Anwendung. Diese Maßnahmen sollen die Sicherheit der Anwendung erhöhen und damit grundsätzliche Architekturziele unterstützen. Dazu gehört als Grundlage eine Analyse der folgenden Aspekte: - schützenswerte Daten und Systemfunktionen, - potenzielle Angriffsvektoren - Umgang mit Problemen, die durch mögliche Sicherheitslücken entstehen. Hinzu kommen gängige Richtlinien und Standards. Diese Analysen dienen als Grundlage für alle weiteren Sicherheitskonzepte.

Wichtige Begriffe:

Risk Management, Risk Management Framework, Threat Modeling, Threat Management, Attack Tree, Angriffsvektor, Betriebskonzept, Audit, Richtlinien, Standards, Business Context analysis, Risk appetite

Sicherheit muss schon bei der Entstehung einer Anwendung beachtet werden. Dies zieht sich über alle Phasen der Entwicklung. Sicherheitsspezifische Entwurfsentscheidungen beziehen sich oft auf konkrete Anforderungen. Jedoch gibt es etablierte Werkzeuge und Vorgehensmodelle, um Entwurf und Implementierung grundsätzlich sicherer zu gestalten.

Wichtige Begriffe:

Dokumentation Sicherheitskonzept, Zugriffskonzept, sichere Entwicklungsinfrastruktur, Umgang mit 3rd Party Code, unterstützende Werkzeuge, Application Security Lifecycle, Security by Design

Hashverfahren, Zufallszahlen, Entropie, Symmetrische Verschlüsslung, Asymmetrische Verschlüsslung, gängige Verfahren und ihre Lebenszeit, allgemeine Empfehlungen

Konkrete Sicherheitsprobleme wie Authentifizierung oder sichere Datenübertragung werden oft mit technisch ähnlichen Maßnahmen gelöst. Diese Lösungen setzen teilweise ein bestimmtes Anwendungsdesign voraus. Nachträgliches Refactoring in Richtung dieser Entwürfe ist oft mit hohen Aufwänden verbunden und an diesen kritischen Stellen fehleranfällig.

Dieser Teil bezieht sich auf die Sicherheit von Web-Systemen. Für Informationssysteme oder Embedded Systeme müssen entsprechend andere Inhalte vermittelt werden.

Wichtige Begriffe:

Authentifizierungskonzepte, Multi-Faktor, Single-Sign-On, Identity Management, Federation, Werkzeuge, sichere Protokolle, Autorisierungskonzepte

Auch wenn Angriffsmethoden wie zum Beispiel "SQL Injections" seit mehreren Jahrzehnten bekannt sind, zeigt deren Verbreitung, dass dieses Problem immer noch besteht. Gerade bei Webanwendungen zeigt sich ein immer wiederkehrendes Muster von Angriffen. Ein Verständnis gängiger Angriffe ist Grundvoraussetzung für Entwurf und Entwicklung sicherer Anwendungen.

Dieser Teil bezieht sich auf die Sicherheit von Web-Systemen. Für Informationssysteme oder Embedded Systeme müssen entsprechend andere Inhalte vermittelt werden.

Wichtige Begriffe:

Angriffsvektoren, Angriffe in Netzwerken, gängige Angriffsmethoden im Web, Injection, Fuzzing, Hijacking, Cross-Site-Angriffe, Social Engineering, Denial-of-Service (DoS), Credential stuffing

Webanwendungen laufen nicht als völlig isolierte Systeme, sondern sind von Infrastruktur umgeben. Um die Sicherheit zu erhöhen kommen immer wieder die gleichen Komponenten zum Einsatz. Dabei geht es nicht um spezifische Produkte eines Herstellers, sondern um die grundlegenden Ideen und Konzepte hinter diesen.

Dieser Teil bezieht sich auf die Sicherheit von Web-Systemen. Für Informationssysteme oder Embedded Systeme müssen entsprechend andere Inhalte vermittelt werden.

Wichtige Begriffe:

WAF, DMZ, Firewall, IDS, IPS, Logging, Monitoring, Ongoing Feedback