Beratung IT-Sicherheit Remscheid

Ein IT-Security Audit, kurz "Sicherheitsaudit", ist eine Sicherheitsüberprüfung, bei der ein Angriff durch eine böswillige Partei auf ein Netzwerk oder eine Anwendung emuliert wird, um Sicherheitslücken zu identifizieren. Dieser Test wird im Vorfeld koordiniert und so durchgeführt, dass kein System beschädigt wird. Am Ende des Tests erhalten Sie einen Bericht, der die gefundenen Probleme und Schwachstellen zusammen mit Vorschlägen zu deren Behebung enthält.

Im Gegensatz zu IT-Security Audits wird bei der Schwachstellenbewertung nicht im Detail ermittelt, ob die Schwachstelle tatsächlich ausgenutzt werden kann oder welche Auswirkungen sie hat. Ein Vulnerability Scan nutzt normalerweise automatisierten Schwachstellen-Scanner wie Nessus oder auch Nmap. Die Schwachstellen-Scanner decken nur Standardszenarien ab und berücksichtigen nicht die Besonderheiten der jeweiligen IT-Infrastruktur.

Vulnerability Scans sind daher eher ein erster Schritt in der technischen Analyse von Schwachstellen als ein vollständiger Prozess zur Absicherung von Systemen. Sie werden auch oft als Teil eines Sicherheitsaudits oder als einer der ersten Schritte bei IT-Security Audits eingesetzt. In allen Fällen geht der IT-Security Audit weiter und untersucht die entdeckten Schwachstellen im Detail.

Der IT-Sicherheitsexperten versucht, die Schwachstellen auszunutzen und die sich daraus ergebenden Möglichkeiten für den Angreifer zu bewerten. Dies hilft, die Auswirkungen einer Schwachstelle zu bestimmen. Aufgrund der manuellen Natur eines IT-Security Audits und der Kreativität des IT-Sicherheitsexpertens sind die Chancen, schwerwiegende Schwachstellen zu finden, bei professionell durchgeführten IT-Security Audits wesentlich höher als bei standardisierten Vulnerability Scans.

Der Umfang eines IT-Security Audits sollte gemeinsam immer an die Besonderheiten des Unternehmens sowie des zu prüfenden Systems angepasst werden.

Im Falle einer Web-Applikation besteht der Umfang häufig aus der Server- und Betriebslandschaft sowie die Benutzeroberflächen und APIs. Oftmals gibt es Unternehmensanwendungen, die speziell für Ihre Informationen geschrieben wurde und die Sie sich ansehen lassen möchten.

Bei einem Netzwerk-Sicherheitsaudit spielen auch andere Überlegungen eine Rolle. Der gewählte Umfang sollte insbesondere unternehmenskritische Systeme umfassen, die im Falle einer Kompromittierung die Sicherheit beeinträchtigen können, z.B. weil sie sensible Daten speichern, wie beispielsweise Benutzerinformationen, Passwörter oder Kundendaten.

Bei einem White-Box-Test erhält der IT-Sicherheitsexperten alle relevanten Informationen über das oder die Zielsystem(e). Der Vorteil ist, dass dieses Vorgehen Zeit – und damit Kosten – spart. Auch generell gilt, dass White-Box-Tests bei der Verbesserung der Sicherheit von IT-Systemen effektiver sind und üblicherweise bevorzugt werden sollten.
Allgemein gilt, dass Black-Box-Tests ein geeignetes Mittel sein können um Sicherheitsprobleme gegenüber einer Spezifikation (z.B. einer Web-API Schnittstelle) aufzudecken, jedoch nur sehr wenig geeignet sind um Fehler innerhalb von bestimmten Komponenten zu identifizieren. Im letzteren Falls sollten White-Box-Tests das bevorzugte Mittel sein.

Wie bei jeder Unternehmensdienstleistung variieren auch die Kosten für einen IT-Security Audits in Abhängigkeit von mehreren Faktoren erheblich.

Scoping-Details wie Netzwerk-IP-Adressen, Komplexität und Anzahl der (Web-)Anwendungen und Mitarbeiter für Social Engineering sind Schlüsselfaktoren zur Bestimmung der Projektgröße. Unter Berücksichtigung dieser Variablen arbeitet unser Team sorgfältig daran, die Details des Umfangs mit den Sicherheitsanforderungen Ihrer Organisation abzustimmen.

Dennoch lassen sich einige Erfahrungswerte, die als erste Anhaltspunkte dienen können, nennen. Ein hochwertiger, professioneller und von Experten durchgeführter Sicherheitsaudit kostet üblicherweise ab etwa €8.000, kann aber bei großen Projekten auch deutlich über diesem Betrag liegen.

Redlings bietet auch Rabatte für Mehrjahresverträge an ("Continuous-Sicherheitsauditing"), um sicherzustellen, dass Ihr Unternehmen einen beständigen Sicherheitsauditing-Partner hat und das Sicherheitsbudget weiter strecken kann.

Beim Black-Box-Testing versucht der IT-Sicherheitsexperten, das Ziel ohne Vorkenntnisse über Adressen, Systeme, Anwendungen und Prozesse anzugreifen. Das Hauptargument für diesen Ansatz ist, dass dieses Szenario der realen Welt am nächsten kommt und somit ein reales Angriffsszenario simuliert. Dies ist jedoch nur zum Teil richtig, denn ein echter Angreifer hat nicht nur eine oder zwei Wochen Zeit wie ein beauftragter IT-Sicherheitsexperten, sondern hat die gesamte Zeit, auch Monate oder Jahre, um den Angriff vorzubereiten. In der Tat haben einige der erfolgreichsten Hackerangriffe über einen Zeitraum von bis zu 12 Monaten stattgefunden.
Diese Voreingenommenheit bedeutet, dass Black-Box-Tests oft nicht aussagekräftig sind und dem Kunden ein falsches Gefühl von Sicherheit vermitteln. Redlings empfiehlt Black-Box-Tests daher nur in Ausnahmefällen. Auch das Argument, dass Angreifer einen Black-Box Ansatz umsetzten (müssen) wirkt nur bedingt, da eine lange Vorbereitungszeit zu weitgehenden internen Informtionen führen kann.