Penetrationstest

Üblicherweise werden Penetrationstests in Blackbox-, Greybox- und Whitebox‑Tests unterteilt. Dadurch, dass bei einem Blackbox-Test dem Pentester gar keine Informationen zur Verfügung stehen, wird ein Angriff eines typischen Außentäters simuliert, der keinerlei Kenntnisse über das Zielsystem besitzt.

Bei einem Whitebox‑Test stehen dem Pentester hingegen umfangreiche Informationen über die zu testenden Systeme zur Verfügung. Durch die Kenntnisse über die Struktur lässt sich der Angriff besser planen, gezielter durchführen und schneller abschließen. Bei einem Greybox-Test verfügt der Pentester, wie der Name schon vermuten lässt, über eingeschränktes Vorwissen.

Häufig ist man sich als Kunde unsicher, welches Testverfahren das richtige für das Unternehmen darstellt. Gerne beraten wir Sie auch dahingehend in unserem ausführlichen Vorgespräch und zeigen Ihnen den Nutzen, aber auch die mit den Tests verbundenen Risiken auf.

Die gewonnenen Erkenntnisse teilt der Pentester in einem Abschlussgespräch dem Unternehmen mit und gibt Maßnahmenempfehlungen zum Schließen der Sicherheitslücken. Zudem hält er alle Informationen zur Methodik, der Durchführung und die erzielten Ergebnisse in einem ausführlichen Bericht fest.

Hackerangriffe entwickeln sich ständig weiter und finden immer wieder neue Wege, um in ein IT‑System einzudringen. Um wertvolle Unternehmensdaten zu schützen und Zeit und Kosten für eine aufwändige Nachverfolgung im Fall eines Hackerangriffs zu sparen, emphielt es sich, die eigene IT‑Infrastruktur regelmäßig auf Sicherheitslücken zu überprüfen. Häufige Ansatzpunkte für einen Pentest sind dabei unter anderem Sicherheits‑Gateways, Server, Clients, Webanwendungen und drahtlose Netze. Diese können im Detail auf ihre Sicherheit hin von uns untersucht werden.

Dabei können unter anderem Systeme zum Test festgelegt werden, die durch ihre IP‑Adressen identifiziert werden. Hierbei kann der Kunde entscheiden, ob alle IP‑Adressen getestet werden sollen oder ob vorher eine Auswahl getroffen wird. Desweiteren können Webapplikationen oder Webservices als Testgegenstand fungieren. Hierbei werden entweder der jeweilige Dienst selbst oder dessen bereitgestellter Funktionsumfang untersucht. Soll der Pentest zur Unterschung von Wireless LANs (WLANs) dienen, werden ausgewählte Netzwerke untersucht oder die gesamte WLAN‑Infrastruktur an einem Standort des Kunden.

Bei einem Penentrationstest handelt es sich um eine Momentaufnahme der zu untersuchenden Systeme. Es ist unter anderem auch eine Frage der Zeit und des Aufbaus der IT, wie viele Komponenten während einer einzigen Untersuchung auf ihre Sicherheit getestet werden können. Daher ist es ratsam, einen Penetrationstest in regelmäßigen Abständen und mit unterschiedlichen Schwerpunkten durchzuführen, um auch langfristig für ein hohes IT‑Sicherheitsniveau im Unternehmen zu sorgen.

Anders als bei einer IT‑Schwachstellenanalyse werden Funde dahingehend untersucht, ob das System tatsächlich über diesen verwundbar ist, also kein False Positiv vorliegt. Dieser Begriff beschreibt vermeintlich erkannte Schwachstellen, die jedoch nur fälschlicherweise erkannt wurden, oder nicht ausnutzbar sind. Diese werden im Unterschied zu einer IT‑Schwachstellenanalyse nicht verifiziert. Somit ist ein Penetrationstest vom Umfang und aus Kostengesichtspunkten gewichtiger als eine IT‑Schwachstellenanalyse. Es werden False Positives erkannt, reduziert und gefundene Schwachstellen aktiv ausgenutzt. Die hieraus gewonnenen Kenntnisse geben Auskunft über mögliche Schäden und das reale Ausmaß der Angreifbarkeit. Somit wird möglichst tief in die IT‑Infrastruktur eingedrungen, um dem Kunden anhand der Funde die Auswirkungen der Schwachstellen auf das Unternehmen darzulegen.

Bei einem Penetrationstest werden durch technische Untersuchungen in erster Linie Schnittstellen, die nach außen gerichtet sind, untersucht, über die ein potenzieller Angreifer in die IT‑Systeme eindringen könnte. Konfigurationsfehler sowie softwareseitige Schwachstellen sind dabei das Ziel. Wie umfangreich ein Penetrationstest abläuft, ist im Wesentlichen von der zu untersuchenden Hard- und Software abhängig. Die Prüfungsintensität wird je nach Wunsch des Beauftragenden abgesprochen und das Risiko eines Eindringens abgeschätzt und daran orientiert, ob es sich um kritische Bereiche handelt. Unsere erfahrenen IT‑Experten gehen im ausführlichen Vorgespräch mit Ihnen alle möglichen Chancen und Risiken durch und führen keine Schritte durch, die nicht vorher mit Ihnen vereinbart und vertraglich festgehalten wurden.