Penetration Testing

Die Begriffe „Pentester”, „White Hat Hacker” und „Ethical Hacker” werden oft synonym verwendet. „Ethical Hacker” und „White Hat Hacker” sind jedoch umfassender zu verstehen und bezeichnen alle Hacking-Aktivitäten zur Verbesserung der IT-Sicherheit. Allen gemein ist, dass keine rechtswidrigen oder nicht dem Code of Ethics entsprechenden Aktivitäten durchgeführt werden.

Formal ist ein Penetration Test ein „Ethical Hack” mit klar vereinbarten Regeln, einem formalen Vorgehen sowie einem definierten Ziel.

Ein Pentester nutzt seine Kenntnisse während des Penetration Testings.

Die Zeit, die für einen Pentest benötigt wird, hängt vom Umfang des Tests ab. Zu den Faktoren, die sich auf die Dauer des Pentesting auswirken, gehören die Größe des Netzwerks bzw. die Komplexität der Anwendung, die Frage, ob der Test intern oder extern durchgeführt wird, ob er physische Penetration Tests beinhaltet und ob Netzwerkinformationen und Benutzeranmeldeinformationen vor dem Beginn den Testern zur Verfügung gestellt werden.

Pentesting sollte regelmäßig erfolgen, um ein effektives IT- und Netzwerksicherheitsmanagement zu gewährleisten. Ein Penetration Test zeigt auf, wie neu entdeckte Bedrohungen oder unentdeckte Schwachstellen von Angreifern ausgenutzt werden können. Zusätzlich zu den regelmäßigen Analysen und Bewertungen, die aufgrund von Compliance-Vorschriften auch teilweise erforderlich sein können, sollten die Tests auch immer nach größeren Änderungen durchgeführt werden wie dem Einsatz veränderter oder neuer Netzwerkinfrastruktur, neuer Anwendungen und veränderten Sicherheitsrichtlinien.

Viele Arten von Penetration Tests können remote, beispielsweise über eine VPN-Verbindung oder eine Hack-Box durchgeführt werden. Aber einige Arten, wie beispielsweise Pentests für drahtlose Netzwerke, oder Pentests auf die physische Infrastruktur erfordern die Durchführung einer Bewertung durch einen Penetration Tester vor Ort.

Die Zusammenarbeit mit einem einzigen Pentest-Anbieter kann dazu führen, dass einige Schwachstellen übersehen werden. Dies kann beispielsweise an einer großen Vertrautheit mit der IT-Umgebung liegen, manchmal auch „Betriebsblindheit” genannt. Auf der anderen Seite kann ein solcher Pentester – und ohne nennenswerte Einarbeitungszeit – jeweils direkt in die Tiefe gehen.

Wenn man sich diesem Spannungsfeld bewusst ist, dann ergibt sich oft automatisch der richtige Zeitpunkt um ein paar frische Ideen und Denkweisen ins Boot zu holen, um eventuell neue Verbesserungspotentiale aufdecken zu können.

Ein Penetration Test ist ein unter Einhaltung strengster rechtlicher, technischer und ethischer Standards durchgeführtes Projekt. Die Tests sind darauf ausgelegt, Schwachstellen zu identifizieren und sicher auszunutzen, während das Risiko einer Unterbrechung des Geschäftsbetriebs minimiert wird. Ein Pentesting-Projekt kann natürlich auch in Entwicklungs- oder Integrationsumgebungen durchgeführt werden.

Wie bei jeder Unternehmensdienstleistung variieren auch die Kosten für einen Penetration Test in Abhängigkeit von mehreren Faktoren erheblich. Scoping-Details wie Netzwerk-IP-Adressen, Komplexität und Anzahl der (Web-)Anwendungen und Mitarbeiter für Social Engineering sind Schlüsselfaktoren zur Bestimmung der Projektgröße. Ein hochwertiger, professioneller und von Experten durchgeführter Penetration Test kostet üblicherweise ab etwa 5.000 € für eine einfache Anwendung oder ein einfaches Netzwerk.

Schwachstellen-Scanner (engl. Vulnerability Scanner) wie Nessus, OpenVAS oder Nmap sind automatisierte Tools, die eine IT-Umgebung untersuchen und nach Abschluss einen Bericht über die aufgedeckten Schwachstellen erstellen. Häufig werden die vorgefundenen Schwachstellen mit einer CVE-Kennung versehen, über die sich genauere Informationen in Erfahrung bringen lassen. Auch eine Bewertung mit einem CVSS-Risikoscore (von 1=Low bis 10=Critical) wird üblicherweise mit angegeben.

Während Schwachstellen-Scans ein wertvolles Bild der potenziellen Sicherheitsschwachstellen liefern, fügen Penetration Tests Kontext hinzu, indem sie zeigen, ob die Schwachstellen ausgenutzt werden könnten, um Zugang zu Ihrer Umgebung zu erhalten.

Penetration Tests sollten nicht als Hindernis betrachtet werden, das es zu überwinden gilt – und sie nach Durchführung einfach als „erledigt” abhaken. Im Gegenteil: die Auswertung der Ergebnisse eines Penetration Tests ist eine gute Gelegenheit, die Ist-Situation und Planung zu IT und IT-Sicherheit zu besprechen und zu überprüfen.

Ein Black-Box Ansatz beim Pentesting bedeutet, dass ein Pentester vorab keine internen Informationen über eine Umgebung erhält. Bei einem Pen-Testing White-Box Ansatz erhält der Pentester die internen Details vorab. Ein Grey-Box Penetration Test liegt irgendwo zwischen einem White-Box und einem Black-Box Pentest.

Je nach Fragestellung die es zu beantworten gilt eignet sich der eine oder andere Ansatz besser. Ein White-Box Ansatz bei dem die internen technischen Details offen liegen führt häufig zu einem kosteneffizienteren Vorgehen als wenn der Pen Test nach einem Black-Box Vorgehen durchgeführt wird. Ein White-Box Modell ist für die meisten Pentests empfehlenswert.