Software Testing: ZAP als Proxy: Regressionstests werden zu Sicherheitstests

Richard Seidl spricht mit Daniel Schmuck darüber, wie DAST (Dynamic Application Security Testing) aus einer Vorgabe der DORA-Verordnung zu einem Baustein der Testautomatisierung in einer Bank wird. Schmuck erzählt, warum die „dynamische Quellcode-Prüfung“ aus dem Regulierungsstandard für einen Tester mit ISTQB-Hintergrund zunächst wie ein Widerspruch klang und wie er über SAST, DAST und SCA zum passenden Begriff fand.

Das Open-Source-Werkzeug ZAP sitzt dabei als Proxy zwischen Playwright- oder Selenium-Tests und der Anwendung, zeichnet den normalen Verkehr auf und leitet daraus Angriffe wie SQL-Injection ab.

Seidl fragt nach, was der erste Report ergeben hat, wie die Scans in Jenkins laufen und warum das Zusammenführen von Befunden aus Pentest, DAST und Infrastrukturscan der nächste Schritt ist.

Richard Seidl ist Berater, Speaker und Podcast-Host. Für ihn ist klar: Wer heute exzellente Software kreieren möchte, denkt den Entwicklungsprozess ganzheitlich: Menschen, Kontext, Methoden und Tools. Er hat seine Erfahrungen in acht Fachbüchern veröffentlicht, betreibt erfolgreich zwei Community-Podcasts und ist Beirat der heise-Konferenz betterCode() Testing.

„Die dynamische Quellcode-Prüfung war für mich irgendwie ein Widerspruch.“ – Daniel Schmuck

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externes YouTube-Video (Google Ireland Limited) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Google Ireland Limited) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Daniel Schmuck ist seit 2013 fachlich verantwortlich für das Testmanagement in der Bausparkasse Schwäbisch Hall. Zu seinen Aufgaben gehören die Umsetzung regulatorischer Anforderungen in interne Vorgaben sowie die Entwicklung und Einführung GUI-basierter Testautomatisierungslösungen.

Nach seinem Abschluss als Diplom-Informatiker (FH) an der Hochschule Furtwangen begann er seine berufliche Laufbahn als Softwareentwickler bei einem IT-Dienstleister mit Fokus auf die Versicherungsbranche. Seine Leidenschaft für Softwarequalität begleitet ihn seit mehr als 20 Jahren, stets eng verbunden mit automatisierten Tests, so wie sein aktueller Schwerpunkt auf Sicherheitstests in der Anwendungsentwicklung.

Softwarequalität im Gespräch

Hier dreht sich alles um Softwarequalität. Ob Testautomatisierung, Qualität in agilen Projekten, Testdaten oder Testteams: Richard Seidl und seine Gäste schauen sich die Dinge an, die mehr Qualität in die Softwareentwicklung bringen.

Die aktuelle Episode ist auch auf Richard Seidls Blog und auf YouTube verfügbar.