Was ist eigentlich ein Pentest?
Sie wollen einen Penetrationstest durchführen? Hier erfahren Sie alles, was Sie darüber wissen müssen: Welche Bereiche sich durch einen Penetrationstest testen...
Unsere zertifizierten Penetrationstester und IT-Securityexperten prüfen die IT-Sicherheit aus der Perspektive und mit Mitteln eines Hackers. Ein Pentest ist einer der effektivsten Wege die eigene IT-Sicherheit auf Herz und Nieren zu prüfen um anschließend die aufgedeckten Schwachstellen zu beseitigen.
Mit unseren Penetration-Tests und Sicherheitsaudits identifiziert Redlings zuverlässig Sicherheitslücken, die unsere Kunden gefährden. Profitieren Sie von unseren praxiserfahrenen Penetration-Testern.
Unsere IT-Sicherheitsexperten für Penetrationstests haben langjährige Erfahrung in der Durchführung von Sicherheitsprüfungen. Durch regelmäßige Schulungen und Weiterbildungen sind sie immer auf dem aktuellsten Stand.
Redlings ist ein auf die Durchführung von Penetrationstest spezialisertes Unternehmen mit Sitz in Deutschland.
Stellen Sie sicher, dass Ihre Verteidigung aktuellen Bedrohungen gewachsen ist. Mit unseren manuellen Deep-Dive-Engagements identifizieren wir Sicherheitsschwachstellen welche Kunden gefährden. Mit unserem Serviceangebot "Continuous Collaborative Testing" verfolgen wir einen langfristigen Sicherheitsansatz und arbeiten mit unseren Kunden zusammen, um sicherzustellen, dass sich ihre Sicherheitslage stetig verbessert.
Unsere Pentester sind zertifizierte Experten auf ihrem Gebiet und decken häufig Möglichkeiten auf wie bereits vorhandene (und bezahlte) Sicherheitstechnologien besser genutzt und die Schutzwirkung verstärkt werden kann.
Investitionen in Sicherheitsmaßnahmen sollten immer mit konkreten Nachweisen unterstützt werden, um den Wert für das Unternehmen zu belegen. Wenn Sie Ihrem Führungsteam den Wert einer Investition zeigen, können Sie Ihren Bedarf nach mehr Ressourcen begründen.
Penetrationstests geben Ihnen eine ungeschminkte Rückmeldung über mögliche Konsequenzen eines IT-Sicherheitsvorfalls wie beispielsweise eines Ransomware-Angriffs.
Die Ergebnisse eines Penetrationstests können Ihren Entwicklern und Administratoren helfen, weniger Fehler zu machen. Ein Pentest erkennt Fehlkonfigurationen, Programmierfehler und andere Schwachstellen.
Fehlen wichtige Patches oder werden Anwendungen und Betriebssysteme nicht gehärtet? Wenn Ihre Pentester zeigen können, dass Applikationen und Netzwerkbereiche mit guter Umsetzung weniger Sicherheitslücken aufweisen, motiviert dies die Sicherheitsleitlinien besser zu befolgen.
Penetrationstests greifen Ihr Netzwerk und Ihre Web-Applikationen wie ein Hacker an - allerdings ohne Schaden anzurichten. Damit könenn Sie Sicherheitslücken vor den Angreifern finden und beheben.
Unternehmens- und Kundendaten gelten als Lebenselixier eines Unternehmens und können in den falschen Händen äußerst schädlich sein. Mit einem Pentest kann Ihr Unternehmen die Datenbestände besser schützen und damit möglichst auch Angriffe verhindern.
Mit einem Penetrationstest können Sie feststellen, welche vorhandenen Sicherheitslücken die größten Auswirkungen auf Ihre Web-Applikationn und Ihr Netzwerk haben. Setzten Sie damit Ihre Ressourcen und Zeit effizienter ein.
Vorschriften wie PCI-DSS, aber auch ISO 27001/2 u.a. können regelmäßige Penetrations-Tests erfordern. Auch manche vertragliche Regelung kann eine solche Anforderung enthalten.
Der Projektablauf wird im Rahmen des gemeinsamen Kick-Off Gespräches geplant und vorbereitet. Unter anderem folgen dabei Abstimmungen zu den folgenden Punkten:
Nun erfolgt die eigentliche Sicherheitsprüfung. Sie besteht dabei üblicherweise aus einem (oder mehreren) in Auftrag gegebenen Prüfmodulen.
Die Testergebnisse werden in einem Bericht zusammengetragen. Darin enthalten sind unter anderen die nachfolgend aufgeführten Abschnitte:
Der Penetrationstest und dessen Ergebnis werden in einem Abschluss-Meeting mit allen Beteilgten besprochen. Wir verstehen sehr genau, dass die aufgedeckten und dokumentierten Sicherheitslücken nur der erste Schritt sind. Konkrete Maßnahmen zur Verbesserung der IT-Sicherheit müssen abgeleitet und auch umgesetzt werden.
Prüfen Sie mit einem Penetrationstest welchen Schaden Hacker bei Ihnen anrichten können.
Als Pentester und Ethical Hacker emulieren wir Angriffe auf die IT von Unternehmen mit den gleichen Werkzeugen und Methoden wie sie kriminelle Organisationen täglich in Heidelberg, Deutschland, Europa und weltweit durchführen.
Ein Penetrationstest, kurz "Pentest", ist eine Sicherheitsüberprüfung, bei der ein Angriff durch eine böswillige Partei auf ein Netzwerk oder eine Anwendung emuliert wird, um Sicherheitslücken zu identifizieren. Dieser Test wird im Vorfeld koordiniert und so durchgeführt, dass kein System beschädigt wird. Am Ende des Tests erhalten Sie einen Bericht, der die gefundenen Probleme und Schwachstellen zusammen mit Vorschlägen zu deren Behebung enthält.
Beim Black-Box-Testing versucht der Pentester, das Ziel ohne Vorkenntnisse über Adressen, Systeme, Anwendungen und Prozesse anzugreifen. Das Hauptargument für diesen Ansatz ist, dass dieses Szenario der realen Welt am nächsten kommt und somit ein reales Angriffsszenario simuliert. Dies ist jedoch nur zum Teil richtig, denn ein echter Angreifer hat nicht nur eine oder zwei Wochen Zeit wie ein beauftragter Pentester, sondern hat die gesamte Zeit, auch Monate oder Jahre, um den Angriff vorzubereiten. In der Tat haben einige der erfolgreichsten Hackerangriffe über einen Zeitraum von bis zu 12 Monaten stattgefunden.
Diese Voreingenommenheit bedeutet, dass Black-Box-Tests oft nicht aussagekräftig sind und dem Kunden ein falsches Gefühl von Sicherheit vermitteln. Redlings empfiehlt Black-Box-Tests daher nur in Ausnahmefällen. Auch das Argument, dass Angreifer einen Black-Box Ansatz umsetzten (müssen) wirkt nur bedingt, da eine lange Vorbereitungszeit zu weitgehenden internen Informtionen führen kann.
Das kann – je nach Art des Pentests – verschieden sein. Häufig sind die Folgenden Punkte aber Teil des Scopes bzw. der gemeinsam getroffenen Vereinbarung:
- Zielsysteme (IP/Hostname) oder IP-Adressräume
- Testzeiträume sowie Ansprechpartner
Cloud-Provider wie AWS, Azure und Google haben für bestimmte Bereiche pauschale Einverständniserklärungen gegeben, jedoch kann dies je nach Provider unterschiedlich sein.
Grundsätzlich muss eine solche vorliegen, falls die zu testenden System nicht auf eigener Infrastruktur liegen.
Häufig ist es sinnvoll die betroffenen Systemverantwortlichen frühzeitig in den Planungsprozess mit einzubinden
damit der „Pentest“ nicht als Angriff sondern als Potentialanalyse zur Verbesserung der IT-Sicherheit wahrgenommen wird.
Um ehrlich zu sein, uns geht es auch nicht darum zu zeigen, dass wir ein Unternehmen hacken können,
sondern in einer kollaborativen Arbeitsatmosphäre Verbesserungspotentiale der IT-Landschaft aufzudecken,
Maßnahmen abzuleiten und zu priorisieren und so effektiv und effizient wie möglich die IT-Sicherheit zu verbessern.
Zu Beginn des Prozesses versuchen wir, uns mit Ihrem Unternehmen und dem Arbeitsumfang
vertraut zu machen, damit wir in der Lage sind, ein genaues Angebot zu erstellen.
Wir sammeln diese Informationen absichtlich, damit wir nicht zurückkommen
und um mehr Testzeit (und zusätzliche Kosten) bitten.
Je mehr Informationen Sie bereit sind, uns mitzuteilen,
desto besser können wir eine Einschätzung abgeben.
Manche Kunden wünschen jedoch einen Blackbox-Ansatz,
bei dem nur wenige Informationen zur Verfügung gestellt werden,
um einen realen Angriff und die Reaktion darauf zu simulieren.
In diesem Fall müssen wir immer noch die Größe/Komplexität erfassen,
die für das Testen erforderlich ist, und haben daher einige
grundlegende Fragen zum Umfang.
Wie bei jeder Unternehmensdienstleistung variieren auch die Kosten für einen Penetrationstests
in Abhängigkeit von mehreren Faktoren erheblich.
Scoping-Details wie Netzwerk-IP-Adressen, Komplexität und Anzahl der (Web-)Anwendungen und Mitarbeiter
für Social Engineering sind Schlüsselfaktoren zur Bestimmung der Projektgröße.
Unter Berücksichtigung dieser Variablen arbeitet unser Team sorgfältig daran,
die Details des Umfangs mit den Sicherheitsanforderungen Ihrer Organisation abzustimmen.
Dennoch lassen sich einige Erfahrungswerte, die als erste Anhaltspunkte dienen können, nennen.
Ein hochwertiger, professioneller und von Experten durchgeführter Pentest kostet
üblicherweise ab etwa €8.000, kann aber bei großen Projekten
auch deutlich über diesem Betrag liegen.
Redlings bietet auch Rabatte für Mehrjahresverträge an ("Continuous-Pentesting"), um sicherzustellen,
dass Ihr Unternehmen einen beständigen Pentesting-Partner hat und
das Sicherheitsbudget weiter strecken kann.
Im Gegensatz zu Penetrationstests wird bei der Schwachstellenbewertung nicht im Detail ermittelt, ob die Schwachstelle tatsächlich ausgenutzt werden kann oder welche Auswirkungen sie hat. Ein Vulnerability Scan nutzt normalerweise automatisierten Schwachstellen-Scanner wie Nessus oder auch Nmap. Die Schwachstellen-Scanner decken nur Standardszenarien ab und berücksichtigen nicht die Besonderheiten der jeweiligen IT-Infrastruktur.
Vulnerability Scans sind daher eher ein erster Schritt in der technischen Analyse von Schwachstellen als ein vollständiger Prozess zur Absicherung von Systemen. Sie werden auch oft als Teil eines Sicherheitsaudits oder als einer der ersten Schritte bei Penetrationstests eingesetzt. In allen Fällen geht der Penetrationstest weiter und untersucht die entdeckten Schwachstellen im Detail.
Der Pentester versucht, die Schwachstellen auszunutzen und die sich daraus ergebenden Möglichkeiten für den Angreifer zu bewerten. Dies hilft, die Auswirkungen einer Schwachstelle zu bestimmen. Aufgrund der manuellen Natur eines Penetrationstests und der Kreativität des Pentesters sind die Chancen, schwerwiegende Schwachstellen zu finden, bei professionell durchgeführten Penetrationstests wesentlich höher als bei standardisierten Vulnerability Scans.
Sie wollen einen Penetrationstest durchführen? Hier erfahren Sie alles, was Sie darüber wissen müssen: Welche Bereiche sich durch einen Penetrationstest testen...
Warum ist IT-Security wichtig? Angreifer und Verteidung - ein ewiges Katz- und Mausspiel? Welche Maßnahmen sollte man jetzt umsetzten um sich vor Ransomware und...
Ein Netzwerkpenetrationstest ist eine Sicherheitsbewertung der internen oder externen IT-Infrastruktur sowie der exponierten Netzwerkdienste.
Read MoreWir untersuchen Ihre Webanwendungen und Webserver auf Schwachstellen.
Read MoreEin Cloud Penetration Test ist eine Sicherheitsbewertung von einem oder mehreren Systemen in einer Cloud-Umgebung (z.B. AWS, Azure, GCP).
Read MoreBeurteilen Sie die Wirksamkeit Ihrer Präventions-, Erkennungs- und Reaktionsfähigkeiten gegen gängige Angreifertaktiken.
Read MoreEin Active Directory Security Assessment umfasst eine Forest- und Domain-Trust-Konfiguration und Sicherheitsüberprüfung sowie eine Bewertung der Konrollen für administrative Gruppen und privilegierte Zugriffskonten.
Read MoreBewerten Sie die Fähigkeiten Ihres Unternehmens zur Erkennung von und Reaktion auf Bedrohungen anhand eines emulierten Cyberangriffs.
Read MoreMit dem Redlings Schwachstellenbewertungsdienst können Sie die Cybersicherheitsrisiken Ihres Unternehmens besser verstehen und verwalten, indem Sie Unterstützung bei der Identifizierung, Klassifizierung und Abschwächung dieser Risiken erhalten.
Read MoreEin Social Engineering Security Assessment kann von einfachem E-Mail-Phishing bis hin zu ausgefeilten Kampagnen reichen, die mehrere Kommunikationstechniken wie Spearphishing, Vishing und Engagement vor Ort nutzen.
Read MoreRedlings stellt Unternehmen hochkarätige Sicherheitsexperten zur Verfügung die langjährige Erfahrung in Aufbau und Betrieb von Informationssicherheitsprogrammen haben.
Read MoreUnsere GRC-Experten unterstützen Sie bei der Durchführung Ihres Informationssicherheitsprojekts.
Read MoreUnser Ziel ist es, sicherzustellen, dass Ihr Unternehmen 'Security-by-Design' bereits direkt beim Projektstart voll integriert hat.
Read MoreUnsere Sicherheitsexperten integrieren Sicherheitsrichtlinien, -tools und -praktiken in Ihre DevOps-Umgebung.
Read More