Netzwerk - Pentest
Bei einem Penetration Test auf ein Netzwerk werden interne oder über das Internet erreichbare Adressen oder Adressbereiche auf Anzeichen von Sicherheitsproblemen hin geprüft. Übliche Fragestellungen sind hierbei:
Für Unternehmen aller Größen stellt Cyberkriminalität eine bedeutende Herausforderung dar. Es ist von besonderer Bedeutung, dass auch kleine und mittelständische Firmen sich ihrer Pflichten bewusst werden und entsprechende Aktionen einleiten, um ihre Daten zu schützen.
Beratung zu Penetrationstests für Wiesbadener Unternehmen
Unsere ISMS-Angebot ist speziell darauf ausgerichtet, Ihr Unternehmen sicher und konform mit den geltenden Sicherheitsstandards zu halten. Dabei berücksichtigen wir stets die spezifischen Anforderungen und Herausforderungen Ihrer Branche, um Ihnen ein ISMS zu bieten, das perfekt auf Ihr Unternehmen zugeschnitten ist.
ISO ISO 27001 ist eine internationale Norm für Informationssicherheitsmanagementsysteme (ISMS). Sie bietet einen Rahmen zur Risikominimierung und zur Implementierung eines effektiven ISMS.
TISAX ist ein Standard für Informationssicherheit in der Automobilindustrie. Er ermöglicht den Austausch von Bewertungsergebnissen und reduziert den Auditierungsaufwand.
VAIT und BAIT sind Richtlinien der BaFin, die Anforderungen an das IT-Management in Versicherungsunternehmen bzw. Banken festlegen. Sie konzentrieren sich auf Risikomanagement und IT-Sicherheit.
VdS 10000 ist eine Richtlinie des VdS Schadenverhütung für kleine und mittlere Unternehmen (KMU). Sie bietet einen leicht umsetzbaren Ansatz zur Informationssicherheit.
Das Redlings Baseline ISMS unterstützt Unternehmen beim Aufbau eines soliden Fundaments für die Informationssicherheit. Es konzentriert sich auf grundlegende und effektive Sicherheitsmaßnahmen gegen Cyberkriminalität.
Das Redling Industrial ISMS ist für industrielle Umgebungen konzipiert. Es berücksichtigt spezielle Sicherheitsanforderungen und Risiken im IOT/OT-Kontext auftreten.
Ohne ein ISMS sind Unternehmen und Behörden anfälliger für Angriffe und Datenverletzungen.
Beispiel: Ein Hackerangriff führt zu einem massiven Datenleck von Kundendaten.
Die Einhaltung relevanter Datenschutz- und Sicherheitsvorschriften kann schwierig sein.
Beispiel: Ein Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) kann zu erheblichen Strafen führen.
Ohne klare Sicherheitsrichtlinien und -verfahren können Prozesse ineffizient und anfällig für Fehler sein.
Beispiel: Zeit- und Ressourcenverschwendung aufgrund ineffizienter Sicherheitsverfahren
Kunden und Partner könnten das Vertrauen in die Datensicherheitspraktiken des Unternehmens verlieren.
Beispiel: Kunden wechseln nach einem Datenverstoß zu einem Konkurrenten.
Das Fehlen eines systematischen Ansatzes zur Risikoidentifizierung und -bewertung kann zu unkontrollierten Risiken führen.
Beispiel: Ein nicht erkanntes Sicherheitsrisiko führt zu einem vermeidbaren Datenleck.
Ohne ISMS-Zertifizierung könnten Unternehmen potenzielle Geschäftsmöglichkeiten verlieren.
Beispiel: Ein potenzieller Kunde bevorzugt einen Mitbewerber mit nachweislicher Informationssicherheit.
Ohne ein ISMS könnten interne Sicherheitsbedrohungen übersehen werden.
Beispiel: Ein unzufriedener Mitarbeiter verursacht absichtlich einen Datenverstoß.
Ohne ein umfassendes ISMS könnten physische Sicherheitsrisiken übersehen werden.
Beispiel: Sensible Dokumente gehen verloren oder werden gestohlen, weil sie nicht ordnungsgemäß gesichert sind.
Sicherheitsschwachstellen bleiben unbemerkt: Penetrationstests helfen, Sicherheitslücken zu erkennen und zu beheben, um die allgemeine Sicherheit zu verbessern und Datenschutzverletzungen zu vermeiden.
Erhöhtes Risiko von Cyberangriffen: Penetrationstests reduzieren die Anfälligkeit Ihres Unternehmens für Cyberangriffe, die sonst zu unerlaubtem Zugriff, Datendiebstahl oder Beschädigungen führen könnten.
Nichteinhaltung gesetzlicher Vorschriften: Pentesting kann in einigen Branchen eine Voraussetzung für die Einhaltung gesetzlicher Vorschriften sein, deren Nichteinhaltung zu Strafen oder einem Rufschaden führen kann.
Verlust des Kundenvertrauens: Nicht erkannte Schwachstellen, die zu Cyberangriffen führen, können das Kundenvertrauen beeinträchtigen. Dies hat negative Auswirkungen auf die Marke, Kundenbindung und die gesamte betriebliche Leistungsfähigkeit haben.
Unterbrechung des Geschäftsbetriebs: Cyberangriffe können den normalen Geschäftsbetrieb stören und zu Produktivitäts- und Umsatzeinbußen führen, insbesondere für kleine und mittlere Unternehmen.
Rufschädigung des Unternehmens: Ein Cyberangriff, der zum Verlust sensibler Informationen führt, kann den Ruf des Unternehmens schädigen, zu Geschäftseinbußen führen sowie Schwierigkeiten bei der Gewinnung neuer Kunden verursachen.
Beim Penetration Testing werden die folgenden Fokusbereiche unterschieden.
Bei einem Penetration Test auf ein Netzwerk werden interne oder über das Internet erreichbare Adressen oder Adressbereiche auf Anzeichen von Sicherheitsproblemen hin geprüft. Übliche Fragestellungen sind hierbei:
Penetration Tests für Webanwendungen untersuchen die allgemeine Sicherheit und potenzielle Sicherheitsrisiken von Webanwendungen, einschließlich Programmierfehlern, nicht korrekt funktionierender Authentifizierung oder Autorisierung, Session Management, und Injektionsschwachstellen wie XSS oder SQL-Injections. Ebenso werden die zugehörigen und erreichbaren Infrastrukturkomponenten, wie Web- oder Datenbankserver, in das Penetration Testing mit einbezogen und auf Schwachstellen hin untersucht.
Cloud-Anbieter wie Amazon AWS, Google Cloud Platform (GCP) und Microsoft Azure bieten eine hohe Anzahl an Services, folgen jedoch im Allgemeinen einem Modell der geteilten Verantwortung. Der Cloud-Dienstleister ist für die Sicherheit der Cloud verantwortlich. Dazu gehört die Hardware, die Backend-Infrastruktur sowie die technische Umsetzung und sichere Programmierung des Services.
Der Kunde ist muss jedoch Verantwortung für die Sicherheit in der Cloud durch richtige Konfiguration der Server und Dienste, die gewährten Berechtigungen und vieles mehr übernehmen. Oftmals ergibt sich die Gefährdung aus der unzureichenden Konfiguration dieser immer komplexer werdenden Dienstleistungen.
Cloud-Penetration Tests prüfen die Sicherheit einer Cloud-Bereitstellung. Ein solcher Pentest gibt Empfehlungen für die Verbesserung der Sicherheit der Cloud-Umgebung.
Social Engineering ist eine Angriffstaktik, bei der es darum geht, sich durch Täuschung Zugang zu Informationen oder Räumlichkeiten zu verschaffen, die dann für böswillige Zwecke genutzt werden.
Das häufigste Beispiel hierfür ist der klassische Phishing-Betrug. Bei einem solchen Penetration Test verwenden die Pentester spezielle Phishing-Tools um die Verteidigungsmechanismen, Erkennungs- und Reaktionsfähigkeiten zu testen. Auch das Eindringen in die physischen Sicherheitszonen - vorbei am Security-Team - kann, beispielsweise beim Einsatz einer Hack-Box, eine große Gefahr darstellen und mit einem Penetration Test geprüft werden.
Aus offensichtlichen Gründen sind diese Art von Penetration Tests an strikte ethische Grundsätze gebunden und finden mit sehr transparenten Regeln statt.
Die Verbreitung von Mobile Apps, nimmt weiter stetig zu. Dabei werden häufig unternehmenskritische Informationen nicht nur übertragen, sondern auch direkt auf dem Mobilgerät gespeichert.
Bei einem Mobile App Penetration Test wird geprüft, ob ein Angreifer sich Zugriff auf die Unternehmens- und Nutzerdaten verschaffen kann und ob sich daraus weitere Risiken für das unternehmensinterne Netzwerk ergeben.
Sind wir mal ehrlich - die meisten Angriffe auf Unternehmensnetze laufen über einen Benutzerrechner und nutzen den Dreiklang aus Outlook & Exchange & Active Directory aus.
Sicherheitslücken in systemnahmen Anwendungen wie der Softwareverteilung und fehlerhaft konfigurierte Systemdienste bieten Malware wie Ransomware hervorragende Einfallstore in das eigene Netzwerk.
Bei diesem Penetration Test geht es darum herauszufinden, was es für Möglichkeiten gibt, nachdem ein Benutzer mal falsch geklickt hat oder ein Angreifer physischen Zugriff auf einen Client erhalten hat.
Bei einem Red Teaming wird die gesamte Verteidigung einer Umgebung getestet. Dabei nutzen die Pentester häufig auch Mittel des Social Engineerings für den initialen Zugriff zum Aufbau eines verdeckten Command-and-Control (C2)-Kanals.
Während ein normaler Penetration Test eine Analyse in der Tiefe durchführt geht Red Teaming in die Breite bei dem Versuch das abgesprochene Ziel zu erreichen. Bei einem Red Teaming wird somit insbesondere auch die Leistungsfähigkeit der eigenen IT-Umgebung hinsichtlich Incident Detection & Response geprüft.
Red Teaming richtet sich insbesondere an Unternehmen und Institutionen, die bereits einen hohen Reifegrad ihrer IT-Sicherheit erreicht haben.
Zu den hier nicht gelisteten Penetration Tests von Szenarien, Systemen und Komponenten zählen:
Ich habe kürzlich den Penetrationstest-Service für unsere Webapplikationen in Anspruch genommen und bin äußerst zufrieden mit den Ergebnissen. Das Team hat gründlich alle potenziellen Sicherheitslücken identifiziert und uns wertvolle Empfehlungen zur Behebung gegeben
Ich habe bei Redlings die durchführung einer Ransomware-Simulation beauftragt, um die Reaktionsfähigkeit unserer Verwaltung auf einen simulierten Angriff zu testen. Die Simulation half uns dabei, unsere Sicherheitsvorkehrungen zu verbessern und die Widerstandsfähigkeit unserer Organisation gegenüber Cyberbedrohungen zu stärken.
Der Pentest unserer Windows Fat-Client-Software deckte signifikante Schwachstellen in der Datenspeicherung, -kommunikation und Geschäftslogik auf. Der Abschlussbericht enthielt detaillierte Informationen zu den Schwachstellen, Auswirkungen, Entdeckungsmethoden und Empfehlungen. Das Team zeigte hohe Kompetenz, Zuverlässigkeit und Verständnis für solche Anwendungen.
Stellen Sie sich einen Gegner vor, der niemals schläft, niemals inne hält und stets auf der Suche nach einer einzigen Schwachstelle in Ihrem System ist. Ein Gegner, der nicht aufhört, bis er Eintritt in Ihre sensibelsten Daten gefunden hat. In der digitalen Welt ist das Risiko, diesem Gegner gegenüberzustehen, größer als je zuvor. Aber keine Sorge - Sie sind nicht allein.
Wir wissen, dass Ihre Daten Ihr wertvollstes Gut sind. Deshalb bieten wir maßgeschneiderte Lösungen, die auf den Schutz Ihrer digitalen Infrastruktur abzielen. Unsere Experten nutzen modernste Technologien und fortschrittliche Penetrationstests, um Schwachstellen zu identifizieren, bevor sie zu echten Bedrohungen werden. Unsere Mission ist es, Ihre digitalen Grenzen sicher und uneinnehmbar zu machen. Mit uns an Ihrer Seite können Sie mit Sicherheit nach vorne blicken.
In einer Zeit, in der sich die digitale Landschaft rasch verändert und neue Sicherheitsrisiken an jeder Ecke lauern, brauchen Sie einen Partner, der Sie durch dieses Minenfeld führt. Sie brauchen jemanden, der nicht an bestimmte Produkte oder Lösungen gebunden ist, sondern nur an eines: den Schutz Ihrer wertvollen Daten und Systeme.
Mit unserem breiten Verständnis von IT-Sicherheitslösungen und -Technologien sind wir in der Lage, die besten Werkzeuge und Strategien auszuwählen, unabhängig von der Marke oder dem Anbieter. Wir sind hier, um Ihnen die sicherste, effizienteste und kostengünstigste Lösung zu bieten.
ÜBERBLICK
Penetration Testing (Pentests) sind simulierte Cyberangriffe bei denen Sicherheitsexperten IT-Systeme auf ausnutzbare Sicherheitslücken untersuchen, um die damit verbundenen Risiken zu bewerten.
Solche Schwachstellen entstehen entweder durch Fehler in Konfiguration oder Programmierung der eingesetzten Webanwendungen, Betriebssysteme, Systemdienste, IT-Infrastruktur, Cloud-Diensten oder auch einfach durch riskantes Verhalten von Benutzern.
Beim Pentesting wird die Perspektive eines Angreifers eingenommen und versuchet mit den gleichen Mitteln und Tools versucht die vorhandenen Sicherheitsmechanismen auszuhebeln.
Zu den Ergebnissen eines Penetrationstests gehört ein umfangreicher Bericht mit Darstellung der aufgefundenen Sicherheitsschwachstellen mit Empfehlungen zur Behebung.
Das wichtigste Ziel beim Penetration Testing sollte nicht sein zu zeigen, dass ein Unternehmen gehackt werden kann, sondern die Sichtweisen und Techniken eines realen, fortgeschrittenen Angreifers so einzubringen, dass zielgerichtete Gegenmaßnahmen kosteneffizient umgesetzt werden können.
Lassen Sie uns noch heute darüber sprechen!
Schwachstellen-Scanner (engl. Vulnerability Scanner) wie Nessus, OpenVAS oder sogar Nmap sind automatisierte Tools, die eine IT-Umgebung untersuchen und nach Abschluss einen Bericht über die aufgedeckten Schwachstellen erstellen. Häufig werden die vorgefundenen Schwachstellen mit einer CVE-Kennung versehen, über die sich genauere Informationen in Erfahrung bringen lassen. Auch die Bewertung mit einem CVSS-Risikoscore (von 1=Low bis 10=Critical) wird üblicherweise mit angegeben.
Solche Security-Scanner besitzen große Datenbanken mit zehntausenden von Schwachstellen. Die Bewertungen der Schwachstellen ist pauschal und berücksichtigt, im Gegensatz zum Penetration Testing, nicht die Umstände der IT-Umgebung.
Schwachstellen und Konfigurationsfehler, die nicht in der Datenbank enthalten können nicht aufgefunden werden.
Dennoch bleibt die - gerne auch häufige - Durchführung von Schwachstellen-Scans eine vergleichsweise einfach umzusetzende und wichtige Sicherheitsmaßnahme, durch die jedes Unternehmen einen guten Einblick in die eigenen potenziellen Schwachstellen der IT-Infrastruktur erhält.
Schwachstellen-Scanner sind sehr wertvolle Werkzeuge – aber man sollte die Grenzen kennen. Sie arbeiten rein signaturbasiert, unbekannte Schwachstellen können also nicht gefunden werden. Auch werden viele Konfigurationsfehler nicht aufgedeckt.
Ein Beispiel: Durch einen Penetration Test werden beispielsweise häufig Fehler, die sich aus dem Zusammenspiel verschiedener Systemdienste entstehen und zu administrativen Rechten führen können, aufgedeckt. Ebenso werden logische Sicherheitsfehler, beispielsweise in Web-Anwendungen, üblicherweise nicht erkannt.
Durch Penetration Testing ermitteln Sie proaktiv die ausnutzbaren Sicherheitsschwachstellen, bevor es jemand anderes tut. Penetration Tests sind strukturiert und methodisch ablaufende Projekte. Grundsätzlich unterscheiden wir dabei die folgenden Projektphasen:
Zwischen Pentester und Kunde wird vorab vereinbart, welche Art von Pentest durchgeführt und welche Ziele dabei erreicht werden sollen. Üblicherweise findet kurz vor Beginn noch ein gemeinsames Kick-Off Meeting zur organisatorischen und technischen Abstimmung statt:
In dieser Penetration Testing Phase werden beispielsweise Informationen über Firewalls, verfügbaren Netzwerkdiensten, IP-Adressen evaluiert. Abhängig von der Art des Pentests können auch persönliche Daten wie Namen, Berufsbezeichnungen, E-Mail-Adressen, Benutzernamen und aktuelle Stellenausschreibungen aus öffentlichen Quellen gesammelt und für spätere Phasen vorgehalten werden.
In dieser Phase des Penetration Test wird versucht in die Umgebung einzudringen, Sicherheitsschwachstellen zu identifizieren und auszunutzen und beispielsweise zu zeigen, wie tief die Pentester in das Netzwerk eindringen können. Nach erfolgreicher Ausnutzung einer Schwachstelle findet üblicherweise wieder eine weitere Erkundung statt um die nun neu vorgefundenen Möglichkeiten für die nächsten Schritte des Penetration Test zu prüfen.
Die Ergebnisse des Penetration Test werden in einem Bericht zusammengetragen. Darin ist enthalten:
Die Ergebnisse des Penetration Test werden in einem Abschlussgespräch vorgestellt. Dabei stehen die Pentester persönlich für konkrete Fragen in einem gemeinsamen Rahmen zur Verfügung.
Es sollten die notwendigen Korrekturen vorgenommen werden, um die durch den Penetration Test aufgezeigten Lücken zu schließen.
Der beste Weg, um sicherzustellen, dass die durchgeführten Korrekturmaßnahmen wirksam sind, ist ein erneuter Penetration Test.
Auch wenn der Ablauf eines Penetration Tests methodisch und strukturiert ist, bleibt für den erfahrenen Pentester genug Freiraum, um Schwachstellen mit nicht-linearen Ansätzen aufzuspüren und auszunutzen. Gutes Penetration Testing zeichnet sich aus genau der richtigen Mischung aus methodischem Vorgehen, leistungsfähigen Tools, einem Blick für den Business-Use-Case, Erfahrung, und einem kreativen Ausnutzen des Wissens um aktuelle Angriffstaktiken aus.
Prüfen Sie mit einem Penetrationstest welchen Schaden Hacker bei Ihnen anrichten können.
Als Pentester und Ethical Hacker emulieren wir Angriffe auf die IT von Unternehmen mit den gleichen Werkzeugen und Methoden wie sie kriminelle Organisationen täglich in Wiesbaden, Deutschland, Europa und weltweit durchführen.
Ein Penetrationstest, kurz "Pentest", ist eine Sicherheitsüberprüfung, bei der ein Angriff durch eine böswillige Partei auf ein Netzwerk oder eine Anwendung emuliert wird, um Sicherheitslücken zu identifizieren. Dieser Test wird im Vorfeld koordiniert und so durchgeführt, dass kein System beschädigt wird. Am Ende des Tests erhalten Sie einen Bericht, der die gefundenen Probleme und Schwachstellen zusammen mit Vorschlägen zu deren Behebung enthält.
ISMS steht für Information Security Management System. Es handelt sich dabei um ein strukturiertes und systematisches Vorgehen, um die Informationssicherheit in einer Organisation zu managen. Ein ISMS umfasst nicht nur Technologie und technische Maßnahmen, sondern auch Aspekte wie Organisationsstrukturen, Policies, Prozesse und Menschen. Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in der Organisation zu gewährleisten.
Ein ISMS folgt in der Regel einem iterativen Prozess auf der Grundlage eines risikobasierten Ansatzes. Dies umfasst:
1 Bewertung der Risiken: Hierbei werden die Bedrohungen und Schwachstellen, die die Informationen in der Organisation gefährden könnten, identifiziert und bewertet. Dies kann auch eine Bewertung der möglichen Auswirkungen eines Sicherheitsvorfalls umfassen.
2 Implementierung von Maßnahmen: Basierend auf der Risikobewertung werden geeignete Sicherheitskontrollen implementiert, um die identifizierten Risiken zu behandeln. Dies kann physische Kontrollen, technische Kontrollen oder administrative Kontrollen umfassen.
3 Überwachung und Überprüfung: Die Effektivität der implementierten Kontrollen wird regelmäßig überwacht und überprüft. Dies kann durch interne Audits, Überprüfungen und andere Methoden erfolgen.
4 Kontinuierliche Verbesserung: Basierend auf den Ergebnissen der Überwachung und Überprüfung werden Verbesserungen am ISMS und an den Sicherheitsmaßnahmen vorgenommen.
Ein ISMS sollte in die Gesamtstrategie und -ziele einer Organisation eingebettet sein, um sicherzustellen, dass die Informationssicherheit im Einklang mit den Geschäftszielen steht. Es sollte auch eine Verpflichtung des Managements zur Informationssicherheit und eine klare Kommunikation der Sicherheitspolitik an alle Mitarbeiter geben.
Sowohl Penetrationstests als auch automatisierte Schwachstellenscans sind nützliche Werkzeuge zum Erkennen von technischen Risiken und Sicherheitslücken.
Obwohl es sich um unterschiedliche Testmethoden handelt, ergänzen sie sich und sollten beide durchgeführt werden.
Ein Schwachstellen-Scan ist eine automatisierte, kostengünstige Methode zum Testen gängiger Netzwerk- und Server-Schwachstellen.
Dies wird manchmal auch als automatisierter Pen-Test bezeichnet.
Es gibt viele automatisierte Tools, und die meisten lassen sich vom Endbenutzer leicht so konfigurieren, dass sie zeitgesteuert nach veröffentlichten Schwachstellen scannen.
Ein automatisierter Schwachstellen-Scan ist zwar sehr effizient und kostengünstig, wenn es darum geht, allgemeine Schwachstellen wie fehlende Patches, Fehlkonfigurationen von Diensten und andere bekannte Schwachstellen zu identifizieren, aber sie sind nicht so genau, wenn es darum geht, die Richtigkeit von Schwachstellen zu überprüfen, und sie bestimmen auch nicht vollständig die Auswirkungen durch Ausnutzung.
Automatisierte Scanner sind anfälliger für die Meldung von False Positives (falsch gemeldete Schwachstellen) und False Negatives (nicht identifizierte Schwachstellen, insbesondere solche, die Webanwendungen betreffen).
Automatisiertes Schwachstellen-Scanning wird durch den Payment Card Industry Data Security Standard (PCI DSS) vorgeschrieben.
Bekannte Schwachstellen-Scanner sind beispielweise und OpenVAS.
Beispiele für Scanner, welche auf das Finden von Schwachstellen von Webapplikationen spezialisiert sind Netsparker Security Scanner und Acunetix Vulnerability Scanner.
Ein Penetrationstest konzentriert sich auf die Umgebung als Ganzes. In vielerlei Hinsicht knüpft er dort an, wo die Scanner aufhören, um eine umfassende Analyse der gesamten Sicherheitslage zu liefern.
Obwohl Skripte und Tools von einem Penetrationstester eingesetzt werden, ist ihre Verwendung weitgehend auf Erkundungsaktivitäten beschränkt.
Der Großteil eines Penetrationstests ist von Natur aus manuell.
Ein Penetrationstest identifiziert Schwachstellen, die Scanner nicht erkennen können, wie z. B. Schwachstellen in drahtlosen Systemen, Schwachstellen in Webanwendungen und noch nicht veröffentlichte Schwachstellen.
Darüber hinaus beinhaltet ein Penetrationstest Versuche, Schwachstellen sicher auszunutzen, Privilegien zu erweitern und letztendlich zu demonstrieren, wie ein Angreifer Zugang zu sensiblen Informationsbeständen erlangen könnte.
Bei Penetrationstests werden häufig auch unternehmensspezifische "Testszenarien" angewendet.
Penetrationstests und automatisierte Schwachstellen-Scans erfüllen beide einen Zweck und beide Arten von Tests gehören in ein umfassendes Programm zur Schwachstellenbewertung.
Automatisierte Schwachstellen-Scans sollten in regelmäßigen Abständen, idealerweise mindestens wöchentlich, durchgeführt werden,
während Penetrationstests für das Netzwerk vierteljährlich oder bei geplanten signifikanten Änderungen an der Umgebung geplant werden sollten.
Bei einem White-Box-Test erhält der Pentester alle relevanten Informationen über das oder die Zielsystem(e). Der Vorteil ist, dass dieses Vorgehen Zeit – und damit Kosten – spart. Auch generell gilt, dass White-Box-Tests bei der Verbesserung der Sicherheit von IT-Systemen effektiver sind und üblicherweise bevorzugt werden sollten.
Allgemein gilt, dass Black-Box-Tests ein geeignetes Mittel sein können um Sicherheitsprobleme gegenüber einer Spezifikation (z.B. einer Web-API Schnittstelle) aufzudecken, jedoch nur sehr wenig geeignet sind um Fehler innerhalb von bestimmten Komponenten zu identifizieren. Im letzteren Falls sollten White-Box-Tests das bevorzugte Mittel sein.
Wie bei jeder Unternehmensdienstleistung variieren auch die Kosten für einen Penetrationstests
in Abhängigkeit von mehreren Faktoren erheblich.
Scoping-Details wie Netzwerk-IP-Adressen, Komplexität und Anzahl der (Web-)Anwendungen und Mitarbeiter
für Social Engineering sind Schlüsselfaktoren zur Bestimmung der Projektgröße.
Unter Berücksichtigung dieser Variablen arbeitet unser Team sorgfältig daran,
die Details des Umfangs mit den Sicherheitsanforderungen Ihrer Organisation abzustimmen.
Dennoch lassen sich einige Erfahrungswerte, die als erste Anhaltspunkte dienen können, nennen.
Ein hochwertiger, professioneller und von Experten durchgeführter Pentest kostet
üblicherweise ab etwa €8.000, kann aber bei großen Projekten
auch deutlich über diesem Betrag liegen.
Redlings bietet auch Rabatte für Mehrjahresverträge an ("Continuous-Pentesting"), um sicherzustellen,
dass Ihr Unternehmen einen beständigen Pentesting-Partner hat und
das Sicherheitsbudget weiter strecken kann.
Im Gegensatz zu Penetrationstests wird bei der Schwachstellenbewertung nicht im Detail ermittelt, ob die Schwachstelle tatsächlich ausgenutzt werden kann oder welche Auswirkungen sie hat. Ein Vulnerability Scan nutzt normalerweise automatisierten Schwachstellen-Scanner wie Nessus oder auch Nmap. Die Schwachstellen-Scanner decken nur Standardszenarien ab und berücksichtigen nicht die Besonderheiten der jeweiligen IT-Infrastruktur.
Vulnerability Scans sind daher eher ein erster Schritt in der technischen Analyse von Schwachstellen als ein vollständiger Prozess zur Absicherung von Systemen. Sie werden auch oft als Teil eines Sicherheitsaudits oder als einer der ersten Schritte bei Penetrationstests eingesetzt. In allen Fällen geht der Penetrationstest weiter und untersucht die entdeckten Schwachstellen im Detail.
Der Pentester versucht, die Schwachstellen auszunutzen und die sich daraus ergebenden Möglichkeiten für den Angreifer zu bewerten. Dies hilft, die Auswirkungen einer Schwachstelle zu bestimmen. Aufgrund der manuellen Natur eines Penetrationstests und der Kreativität des Pentesters sind die Chancen, schwerwiegende Schwachstellen zu finden, bei professionell durchgeführten Penetrationstests wesentlich höher als bei standardisierten Vulnerability Scans.
Die Begriffe "Penetrationstester" (kurz auch „Pentester“), "White Hat Hacker" und "Ethical Hacker" werden oft synonym verwendet. Die Begriffe „Ethical Hacker“ und „White Hat Hacker“ umfassen die gesamte Hacking-Aktivität zur Verbesserung der IT-Sicherheit. Allen gemein ist, dass Aktivitäten die rechtswidrig oder nicht dem Code of Ethics entsprechen unterlassen werden.
Formal ist ein Penetrationstest nur ein „Ethical Hack“ mit sehr klar vereinbarten Regeln, einem formalen Vorgehen sowie einem definierten Ziel.
Zu Beginn des Prozesses versuchen wir, uns mit Ihrem Unternehmen und dem Arbeitsumfang
vertraut zu machen, damit wir in der Lage sind, ein genaues Angebot zu erstellen.
Wir sammeln diese Informationen absichtlich, damit wir nicht zurückkommen
und um mehr Testzeit (und zusätzliche Kosten) bitten.
Je mehr Informationen Sie bereit sind, uns mitzuteilen,
desto besser können wir eine Einschätzung abgeben.
Manche Kunden wünschen jedoch einen Blackbox-Ansatz,
bei dem nur wenige Informationen zur Verfügung gestellt werden,
um einen realen Angriff und die Reaktion darauf zu simulieren.
In diesem Fall müssen wir immer noch die Größe/Komplexität erfassen,
die für das Testen erforderlich ist, und haben daher einige
grundlegende Fragen zum Umfang.
Das kann – je nach Art des Pentests – verschieden sein. Häufig sind die Folgenden Punkte aber Teil des Scopes bzw. der gemeinsam getroffenen Vereinbarung:
- Zielsysteme (IP/Hostname) oder IP-Adressräume
- Testzeiträume sowie Ansprechpartner
Cloud-Provider wie AWS, Azure und Google haben für bestimmte Bereiche pauschale Einverständniserklärungen gegeben, jedoch kann dies je nach Provider unterschiedlich sein.
Grundsätzlich muss eine solche vorliegen, falls die zu testenden System nicht auf eigener Infrastruktur liegen.
Häufig ist es sinnvoll die betroffenen Systemverantwortlichen frühzeitig in den Planungsprozess mit einzubinden
damit der „Pentest“ nicht als Angriff sondern als Potentialanalyse zur Verbesserung der IT-Sicherheit wahrgenommen wird.
Um ehrlich zu sein, uns geht es auch nicht darum zu zeigen, dass wir ein Unternehmen hacken können,
sondern in einer kollaborativen Arbeitsatmosphäre Verbesserungspotentiale der IT-Landschaft aufzudecken,
Maßnahmen abzuleiten und zu priorisieren und so effektiv und effizient wie möglich die IT-Sicherheit zu verbessern.
Eine Frage, die nicht oft genug gestellt wird, ist, wie viel von den Tests automatisiert
und wie viel manuell ist. Automatisierte Tools, insbesondere zu Beginn eines Projektes, können
einem Pentester viel Zeit sparen und der Einsatz ist auch abhängig von Projekt zu Projekt.
Erfahrungsgemäß sind jedoch ca. 90-95% des Pentets "Handarbeit".
Das soll nicht heißen, dass automatisierte Schwachstellen-Scanner keinen Mehrwert bieten;
Schwachstellen-Scans sind schnelle und einfache Tools, die regelmäßig eingesetzt werden
sollten, um fehlende Patches oder veraltete Software in größeren Umgebungen zu identifizieren.
Transparente Vorgehensweise
Erfahrene und zertifizierte Berater
Eingehende Bedrohungsanalyse
Ein tiefes Verständnis der Arbeitsweise von Hackern
Durchführung von Pentests nach anerkannten Regeln der Technik (BSI, PTES, OWASP, PCI DSS, OSSTMM, NIST)
Gründer, Geschäftsführer
Beratung zu Penetrationstests für Wiesbadener Unternehmen