Penetrationstest
Um die Sicherheit Ihrer Infrastruktur zu bewerten mögliche Lücken und Schwachstellen aufzudecken, führen wir gerne für Sie einen Penetration-Test (Vulnerability Scan) durch. Je nach Kundenwunsch können folgende Varianten durchgeführt werden:
- externer Penetrationstest: Die aus dem Internet erreichbaren Systeme werden mittels Black Box Penetrationstest auf Sicherheitslücken untersucht. Dabei werden vom Kunden nur die betroffenen IP-Adressen bekannt gegeben und aus der Perspektive eines externen Angreifers, der über keine weiteren Insider-Informationen verfügt, untersucht.
- Interner Penetrationstest: Interne Penetrationstests gehen von dem Szenario aus, dass ein Angreifer Zugriff auf das interne Netzwerk des Kunden erlangt, und versuchen die Fragestellung zu beantworten, was dieser Angreifer im Netz anrichten bzw. auf welche Informationen er zugreifen könnte. Dazu wird in einer zeitlich beschränkten ersten Phase ein Black Box-Test durchgeführt, d.h. es werden vom Kunden keinerlei Informationen bereitgestellt. Da ein reiner Black Box-Test in heutigen komplexen Netzwerken jedoch viel Zeit in Anspruch nehmen würde, werden in einer zweiten Phase in enger Kooperation mit dem Kunden potentiell interessante Ziele festgelegt und diese in einem White Box-Ansatz untersucht. Damit ist eine effiziente Nutzung der Zeit und eine Konzentration auf wesentliche Assets möglich.
Zwei Varianten stehen zur Verfügung:
Viele der möglichen Eindringszenarien und „Vandalenakte“ lassen sich nur durch menschliche Analyse und Beobachtung erkennen, vor allem bei der Beurteilung auf welches Schadensziel es der Angreifer abgesehen haben könnte. So ist es von Bedeutung, zu wissen, welches Business Modell hinter einer Webseite steht bzw. zu welchem Zweck eine Webseite betrieben wird und welchen möglichen Risiken sie damit ausgesetzt ist. Die möglichen Risiken und Gefahren kann nur ein erfahrener Analyst bewerten. Nur seine fachliche Kompetenz ermöglicht es ihm, zu beurteilen, welche Kombination von Schwachstellen als mögliches Angriffsszenario benutzt werden kann.
Bei einem automatisierten Scan setzen wir einen sogenannten Vulnerability Scanner ein, welcher die gewünschten Web-Applikationen untersucht. Dabei werden die von Hackern verwendeten Angriffsszenarien nachgestellt und alle Systembestandteile und Anwendungen des Softwaresystems automatisiert bis ins letzte Detail untersucht. Neben Programmierschwachstellen, die bei der Erstellung der Applikationen entstehen können, finden Vulnerability Scanner Konfigurationsfehler auf den Web- sowie den Applikationsservers. Insbesondere werden Parameter-Manipulationen durchgeführt, sowie Files und Directorys untersucht. Die Suche nach applikationsbezogenen Schwachstellen, nach schwachen Passwörtern, sowie die Durchführung von Portscans sind als Standard-Checks integriert. Automatisierte Scans bieten wir auch im Rahmen von Managed Security Services an.
Alle Verwundbarkeiten der angegriffenen Systeme werden dokumentiert. Die Findings werden kategorisiert, interpretiert, bewertet und verständlich für die jeweilige Leserzielgruppe aufbereitet. Sie dienen somit als Handlungsgrundlage und Empfehlung zur Behebung von Mängeln. Anschließend wird dem Management die Analyse präsentiert und offene Fragen beantwortet. Abschließend werden auf Wunsch in einem technischen Workshop die Untersuchungsergebnisse mit den IT-Verantwortlichen besprochen.