Testkonzept - Testmethoden Dynamische Tests

Ein Testverfahren ist eine definierte Methode zur dynamischen Prüfung eines Ergebnisses mit dem Ziel, die Merkmale und Abweichungen im erwarteten vom tatsächlichen Verhalten festzustellen, so dass Korrekturmaßnahmen eingeleitet werden können.

Ziel eines Testverfahrens ist es, eine Nachvollziehbarkeit und Kontrollierbarkeit der durchgeführten Tests zu ermöglichen und mit ausreichendem Umfang das Risiko eines Ausfalls von Software zu minimieren.

Dynamische Tests setzen die Ausführbarkeit einer Software voraus und stellen auf die Reaktion der Software bei Eingaben sowie auf das Laufverhalten ab.

Unter einem dynamischen Test ist die Prüfung eines Testobjekts durch Ausführung der Software zu verstehen.

Dafür werden Testfälle spezifiziert welche nach einer Durchführung zu einem erwarteten Ergebnis führen sollen.

Black Box Test

Beim Black Box Test wird eine Software oder ein Teil dessen ohne Kenntnis der softwareinternen Struktur gegen die Spezifikation getestet. Durch Eingaben und einer anschließender Prüfung der Ausgaben werden auch Inkonsistenzen aufgedeckt.

Unter einem Black Box Test ist ein funktionales oder nicht-funktionales Testen ohne Nutzung von Informationen über eines Softwaresystems oder einer Komponente zu verstehen.

Die Ziele eines Black Box Test

» Fehlerhafte Funktionalitäten finden

» Fehlerhafte Bildschirm- oder Druckerausgabe finden

» Fehler aufgrund von speziellen Datenkonstellationen finden

» Fehler aufgrund von Kompatibilitätsproblemen finden

» Fehler aufgrund von Konfigurationsproblemen finden

» Fehler aufgrund von Hardwareproblemen finden

» Fehler aufgrund von Systemüberlastung finden

» Fehler aufgrund von unvorhergesehene Ereignissen finden

Annahmetest

Ein Annahmetest ist quasi eine Spezifizierung eines Black Box Test. Die Qualität der Entwicklung einer Software soll grob im Hinblick einer Testreife beurteilt werden. Die Abweichungen und Fehler sollen hierbei nur bezüglich des fachlichen Inhaltes dokumentiert, grundsätzlich jedoch nicht im Detail analysiert werden.

Der Kern einen Annahmetest kann als Regressionstest konzipiert und soweit wie möglich und sinnvoll für zukünftige Softwareupdates automatisiert werden.

Im Rahmen von automatisiert testbaren unternehmenskritischen Geschäftsprozessen oder Funktionen läst sich recht schnell feststellen, ob die alte Funktionalität nach wie vor gewährleistet ist, damit darauf aufbauend neue Funktionen getestet werden können.

Die ausgewählten Testfälle sollten ein Extrakt eines technischen und/oder fachlichen Funktionskettentests sein, der eine Beurteilung des Status der Softwareentwicklung gestattet. Bereits aus vorherigen Testdurchführungen bekannte Fehlersituationen sollten hier mit einfließen.

Sofern das für den Annahmetest tolerierte Sollverhalten grundlegend vom eigentlichen Sollverhalten des Testfalles abweicht, sollte die Entscheidung über Abbruch, Wiederholung oder Weiterführung mit den spezifizierten Tests in Abhängigkeit der aktuellen Projektsituation getroffen werden.

Es kann in bestimmten Fällen auch sinnvoller sein die bereits ausgeführten Tests einer detaillieren Prüfung zu unterziehen und nach Korrektur nochmals auszuführen, damit aktuelle und gültige Testdaten in die nachgelagerten Umsysteme gelangen.

Abnahmetest

Voraussetzung für den Beginn eines Abnahmetests ist der erfolgreiche dokumentierte Abschluss der spezifizierten Teststufen im Rahmen von IT Tests

Ziel des Abnahmetests ist es im Rahmen von fachlichen Funktions-, Funktionsketten- und User Acceptance Tests zu prüfen, ob vom auszuliefernden Produkt die spezifizierten Anforderungen des Auftraggebers erfüllt werden.

Das im Abnahmetest zu testende Testobjekt ist die betroffene Software bzw. ein im Entwicklungsabschnitt vom Projekt gelieferte Teilprodukt. Die für diesen Test benötigten Testfälle sind fachlich geprägt und sollten von daher vom Auftraggeber definiert bzw. mit ihm abgestimmt sein. Geeignete Testfälle aus früheren Testläufen können – sofern vorhanden – erneut verwendet werden.

Im Falle eines erfolgreichen Test und anschließender Abnahmeerklärung – die durch den Auftraggeber zu erfolgen hat - kann eine Software oder eine System für den produktiven Einsatz freigegeben werden.

Schwachstellentest

Der Schwachstellentest soll Sicherheitslücken in einem Anwendungssystem aufdecken, um einen möglichen Schaden bereits im Vorfeld zu vermeiden. Hierfür können von unabhängigen und absolut vertrauenswürdigen Personen wissentlich Hilfsmittel und Techniken verwendet werden, die auch von Hackern benutzt werden.

Im Allgemeinen erfolgt die Durchführung dieser Tests nicht in der Testumgebung sondern in der Produktionsumgebung, also erst nach der Einführung der Software bzw. des Systems. Von daher sollten vorab vertragliche Regelungen getroffen werden, welche eine strafrechtliche Verfolgung von Personen, die auftragsgemäß die Schwachstellentests durchführen, ausschließen.

Im Rahmen von Schwachstellentests sollten die Angriffsversuche und deren Ergebnisse detailliert dokumentiert und bewertet werden. Anschließend können Empfehlungen für Maßnahmen ausgesprochen werden, die die entdeckten Sicherheitslücken schließen können.

Angriffsszenarien

Aktiver

Angriff

Angreifer versucht Informationen (Daten) zu erstellen oder zu verändern. Eine Verletzung der Integrität kann durch Überwindung von Authentifikationssystemen (Passworthacking) erfolgen.

Passiver

Angriff

Angreifer hört nur Informationen ab, verändert diese aber nicht. Eine Verletzung der Vertraulichkeit kann durch Mithören auf Datenleitungen (Sniffing) erfolgen.

Destruktiver

Angriff

Angreifer versucht die die Funktion des Systems zu beeinträchtigen. Eine Verletzung der Verfügbarkeit kann durch das Erzeugen von Überlast oder das Einschleusen von Viren erfolgen.

Angriffsmethoden

Methode	Beschreibung
Denial of Service	Die Funktionsfähigkeit des angegriffenen Systems soll durch fortlaufende Verbindungsanforderungen mit nicht existenten Zieladressen beeinträchtigt werden. Sogenannte SYN-Attacken verfolgen letztendlich das Ziel den angegriffenen Rechner zum Absturz bringen.
Hijacking	Der Angreifer tarnt sich als ein Rechner einer authentifizierten aktiven Verbindung zwischen zwei Rechnern, schneidet hierbei den originären Rechner von der Kommunikation ab und nimmt dessen Platz ein. Der angegriffene Rechner kann nicht unbedingt feststellen, dass eine Änderung stattgefunden hat.
Address Spoofing	Der Angreifer täuscht dem angegriffenen Rechner vor, dass seine Nachrichten von einem anderen vertrauenswürdigen Rechner stammen und versucht einen Zugang zum angegriffenen Rechner zu erlangen.
Port Scanning	Der Angreifer scannt automatisch alle vorhanden Systemdienste (Port) ab und sucht nach eventuellen Schwachstellen.
Sniffing	Der Angreifer möchte Informationen aus Netznachrichten sammeln und Kopien des Inhalts anlegen. Das Passwort Sniffing ist der bekannteste Angriff dieser Art.
Account und Paßwortangriff	Der Angreifer versucht Passwörter per Programm zu entschlüsseln, entweder per Brute Force (ausprobieren aller Möglichkeiten) oder über spezielle Wörterbücher. Voraussetzung dafür ist jedoch, dass eine Passwortdatei vorhanden ist.

Integrationsmethoden

Methode

Beschreibung

Top Down Integration

(Test von oben nach unten)

Ausgehend vom Hauptprogramm werden Unterprogrammaufrufe durch den Aufruf von lokalen Anknüpfungspunkten für Software (sogenannte Stubs) ersetzt.

Nach und nach werden die Stubs durch echte Module ersetzt.

Bottom Up Integration

(Test von unten nach oben)

Test von einzelnen Modulen, die dann sukzessive zu größeren Einheiten zusammengefasst werden.

Hierzu werden Testtreiber (sogenannte Driver) für alle Objekte entwickelt, die nicht selbständig ausführbar sind. Die Testobjekte werden von den Treibern aufgerufen und mit den notwendigen Testdaten versorgt.

Die zurückgegebenen Ergebnisse werden aufgezeichnet und ausgewertet.

Inside Out Integration/

Up Down Integration

(Mischung aus Bottom Up und

Top Down Integration)

Der Test beginnt auf der mittleren Strukturebene des Gesamtsystems. Hierbei kommen Stubs und Driver gleichzeitig zum Einsatz.

Outside In Integration/

Sandwich Integration

Getestet werden im ersten Schritt gleichzeitig die oberste und die unterste Ebene. Dazwischen befinden sich Stubs und Driver.

Die Outside In Integration ist das Gegenteil der Inside Out Integration

Branchwise Test

Einzelnen Zweige werden von oben nach unten (analog der Top Down Integration) nacheinander getestet. Ein Test umfasst auf jeder Strukturebene in der Regel eine Komponente. Bereits getestete Zweige bzw. noch nicht getestete Zweige können hierbei durch Stubs ersetzt werden.