Penetration Testing Bremen

Ein Penetrationstest, kurz "Pentest", ist eine Sicherheitsüberprüfung, bei der ein Angriff durch eine böswillige Partei auf ein Netzwerk oder eine Anwendung emuliert wird, um Sicherheitslücken zu identifizieren. Dieser Test wird im Vorfeld koordiniert und so durchgeführt, dass kein System beschädigt wird. Am Ende des Tests erhalten Sie einen Bericht, der die gefundenen Probleme und Schwachstellen zusammen mit Vorschlägen zu deren Behebung enthält.

Bei einem White-Box-Test erhält der Pentester alle relevanten Informationen über das oder die Zielsystem(e). Der Vorteil ist, dass dieses Vorgehen Zeit – und damit Kosten – spart. Auch generell gilt, dass White-Box-Tests bei der Verbesserung der Sicherheit von IT-Systemen effektiver sind und üblicherweise bevorzugt werden sollten.
Allgemein gilt, dass Black-Box-Tests ein geeignetes Mittel sein können um Sicherheitsprobleme gegenüber einer Spezifikation (z.B. einer Web-API Schnittstelle) aufzudecken, jedoch nur sehr wenig geeignet sind um Fehler innerhalb von bestimmten Komponenten zu identifizieren. Im letzteren Falls sollten White-Box-Tests das bevorzugte Mittel sein.

Zugegeben, das ist gar nicht so einfach - wenn Ihnen jemand erzählt, dass er nur mit den besten Pentestern arbeitet, mag das schwer nachzuprüfen sein. Pentester mit mehr Erfahrung und aufwändigerer Ausbildung sind auch häufig teurer. Denken Sie einfach daran, dass Sie das bekommen, wofür Sie bezahlen. Hüten Sie sich vor Pentestern, die Preise anbieten, die zu gut sind, um wahr zu sein. Sie machen wahrscheinlich keine gründliche Arbeit. Ich schlage vor, nach Penetrationstestern zu suchen, die eine oder - besser - mehrere anerkannte Pentester-Zertifizeriungen haben.

Zu den in Sicherheitskreisen am meisten geachteten (und aufwändigsten) Zertifizierungen im Bereich Penetration Testing gehören die Zertifizierungen von Offensive Security (insbes. OSCP - Offensive Security Certified Professional, OSCE - Offensive Security Certified Expert) und von SANS/GIAC.

Im Gegensatz zu Penetrationstests wird bei der Schwachstellenbewertung nicht im Detail ermittelt, ob die Schwachstelle tatsächlich ausgenutzt werden kann oder welche Auswirkungen sie hat. Ein Vulnerability Scan nutzt normalerweise automatisierten Schwachstellen-Scanner wie Nessus oder auch Nmap. Die Schwachstellen-Scanner decken nur Standardszenarien ab und berücksichtigen nicht die Besonderheiten der jeweiligen IT-Infrastruktur.

Vulnerability Scans sind daher eher ein erster Schritt in der technischen Analyse von Schwachstellen als ein vollständiger Prozess zur Absicherung von Systemen. Sie werden auch oft als Teil eines Sicherheitsaudits oder als einer der ersten Schritte bei Penetrationstests eingesetzt. In allen Fällen geht der Penetrationstest weiter und untersucht die entdeckten Schwachstellen im Detail.

Der Pentester versucht, die Schwachstellen auszunutzen und die sich daraus ergebenden Möglichkeiten für den Angreifer zu bewerten. Dies hilft, die Auswirkungen einer Schwachstelle zu bestimmen. Aufgrund der manuellen Natur eines Penetrationstests und der Kreativität des Pentesters sind die Chancen, schwerwiegende Schwachstellen zu finden, bei professionell durchgeführten Penetrationstests wesentlich höher als bei standardisierten Vulnerability Scans.

Die Begriffe "Penetrationstester" (kurz auch „Pentester“), "White Hat Hacker" und "Ethical Hacker" werden oft synonym verwendet. Die Begriffe „Ethical Hacker“ und „White Hat Hacker“ umfassen die gesamte Hacking-Aktivität zur Verbesserung der IT-Sicherheit. Allen gemein ist, dass Aktivitäten die rechtswidrig oder nicht dem Code of Ethics entsprechen unterlassen werden.
Formal ist ein Penetrationstest nur ein „Ethical Hack“ mit sehr klar vereinbarten Regeln, einem formalen Vorgehen sowie einem definierten Ziel.

Ein IT-Sicherheitsaudit untersucht die Sicherheit der IT-Systeme eines Unternehmens aus einer ganzheitlichen Perspektive. Sicherheitsbedrohungen können nicht nur durch Angriffe entstehen, sondern auch durch technische Vorfälle, organisatorische Mängel oder höhere Gewalt.
Sicherheitsaudits finden oft im Rahmen eines ISMS (Informationssicherheits-Managementsystems) und prüfen nicht nur technische Sicherheitselemente, sondern auch die Einhaltung der eigenen Standards und Richtlinien, Sicherheitsprozesse, Schulung der Mitarbeiter (Stichwort Information Security Awareness) und ähnliche Aspekte. Manche Sicherheitsaudits beinhalten auch Elemente eines Schwachstellen-Scans.
Allerdings geht ein Sicherheitsaudit meist nicht so sehr ins technische Detail wie ein manueller Penetrationstest.