In diesem Blog-Beitrag werden wir alle Details über Penetrationstests behandeln und wie sie – wenn sie richtig durchgeführt werden – Ihrem Unternehmen helfen können.
Was genau sind Penetrationstests?
Penetrationstests, auch Pentest genannt, sind eines der beliebtesten Themen in der heutigen Welt der Informationssicherheit. Es handelt sich dabei um ein Sicherheitstestverfahren, mit dem Sicherheitsschwachstellen in Computersystemen, Netzwerken und Webanwendungen aufgespürt werden sollen.
Diese Sicherheitstests werden von “autorisierten” Personen (so genannten ethischen Hackern) durchgeführt, um Logikfehler und Schwachstellen in den angegebenen Informationssystemen aufzuspüren und die Ausnutzung dieser Sicherheitslücken durch böswillige Personen zu verhindern. Dadurch werden Maßnahmen zur Erhöhung des Sicherheitsniveaus der getesteten Umgebungen vorgeschlagen. Der Hauptzweck eines Pentests besteht darin, die betreffende Schwachstelle auszunutzen und zu versuchen, sich auf eine Weise unbefugten Zugang zu verschaffen, ohne das System zu beschädigen, und nicht nur Schwachstellen aufzuspüren.
Ein typischer Pentest-Prozess besteht aus den unten aufgeführten Schritten:
- Kundengespräch (Sammeln von Informationen und Besprechung der Testbedingungen)
- Kick-off (Scannen des Testumfangs)
- Schwachstellenscan (Scannen der vom Kunden bereitgestellten Netzwerke)
- Manuelle Exploits (Aufspüren von Fehlalarmen, Versuch, sich unerlaubten Zugang zu verschaffen)
- Szenarioausführung (vordefinierte Szenarien mit oder ohne Vorkenntnisse über Systeme)
- Pentest-Bericht (einschließlich der entdeckten Schwachstellen und Maßnahmen gegen diese)
- Abschlussbesprechung (Präsentation des Testberichts und der Vorschläge)
Warum brauchen Unternehmen Penetrationstests?
Penetrationtests sind einer der ersten Schritte zur proaktiven Sicherheit und hilft Ihnen und Ihrem Unternehmen, Hackern einen Schritt voraus zu sein. Bei einem Pentest findet ein Team von ethischen Hackern Sicherheitsschwachstellen in Ihrer Anwendung, Ihrem Netzwerk oder Ihrem System. So können Sie sie beheben, bevor Angreifer diese Probleme ausnutzen. Es gibt keine Definition für ein zu 100 % sicheres System, und die Techniken, mit denen Angreifer das System ausnutzen können, sind unbegrenzt. Die Möglichkeiten der Techniken variieren je nach der Erfahrung der Angreifer mit Betriebssystemen, Softwareentwicklungskenntnissen und Informationssystemen. Außerdem ist es immer eine gute Wahl, die Sicherheitsschwachstellen in Ihren Informationssystemen von einer dritten Partei überprüfen zu lassen.
Ein weiterer wichtiger Punkt, der hier erwähnt werden sollte, ist, dass ein Pentest nicht nur ein Schwachstellen-Scan ist. Wir werden später noch ausführlich darüber sprechen, aber wir erleben, dass viele Unternehmen nur Tools zum Scannen von Schwachstellen verwenden und behaupten, sie hätten selbst Pentests durchgeführt. Das ist jedoch weit von der Realität entfernt.
Wie kann Penetrationtests Ihrem Unternehmen helfen?
Natürlich bieten Pentests verschiedene Vorteile und vielversprechendes Verbesserungspotenzial für die getestete Umgebung. Die häufigsten Vorteile für Ihr Unternehmen lassen sich wie folgt zusammenfassen;
- Schwachstellen ausnutzen
Bei Penetrationstests werden bestehende Schwachstellen in Ihrem System oder Ihrer Netzinfrastruktur untersucht. Ein Bericht informiert Sie über Ihre Sicherheitsschwachstellen, so dass Sie wissen, welche Verbesserungen an Software und Hardware Sie in Betracht ziehen müssen.
- Echte Risiken anzeigen
Penetrationstester versuchen, festgestellte Schwachstellen auszunutzen. So können Unternehmen sehen, was ein Angreifer in der “echten Welt” tun könnte. Er könnte auf sensible Daten zugreifen und Befehle für das Betriebssystem ausführen.
- Sicherstellung der Geschäftskontinuität
Um sicherzustellen, dass Ihre Geschäftsabläufe jederzeit reibungslos funktionieren, benötigen Sie die Verfügbarkeit Ihres Netzwerks und eine 24/7-Kommunikation. Jede Unterbrechung hat negative Auswirkungen auf Ihr Unternehmen. Penetrationstests decken potenzielle Bedrohungen auf und tragen dazu bei, dass Ihr Betrieb nicht durch unerwartete Ausfallzeiten oder einen Verlust der Erreichbarkeit beeinträchtigt wird.
- Befolgung der Vorschriften und Einhaltung der Zertifizierungsanforderungen
Ihre Branche und Ihre gesetzlichen Vorschriften können ein bestimmtes Maß an Penetrationstests vorschreiben. Denken Sie an den ISO 27001-Standard, TISAX® oder die PCI-Vorschriften, die von allen Managern und Systemverantwortlichen die Durchführung regelmäßiger Penetrationstests und Sicherheitsüberprüfungen durch qualifizierte Prüfer verlangen.
- Senkung der Versicherungsprämien für Cybersicherheit
Die meisten Versicherer senken die Versicherungsprämie für Cybersicherheit, wenn Sie einen Penetrationstest nachweisen. Denken Sie daran, dass es für sie billiger ist, ein gesichertes Netz zu versichern als ein unbekanntes.
Hier finden Sie weitere Information über das Thema: Penetration Testing Services
Arten von Penetrationstests
Vor der Auswahl eines geeigneten Anbieters und einer geeigneten Methode ist es immer gut, sich mit den verfügbaren Pentest-Typen vertraut zu machen, da die Aufträge in Bezug auf Schwerpunkt, Tiefe und Dauer variieren. Zu den gängigen Methoden des Ethical Hacking gehören:
* Interne/externe Penetrationstests der Infrastruktur
Eine Bewertung der Netzwerkinfrastruktur vor Ort und in der Cloud, wie z. B. virtuelle Systemhosts, Router und Switches. Ein Pentest kann entweder als interner Penetrationstest durchgeführt werden, der sich auf Ressourcen innerhalb des Unternehmensnetzwerks konzentriert, oder als externer Penetrationstest, der auch die Infrastruktur des Unternehmensnetzwerks ins Visier nimmt, die über das Internet erreichbar ist. Um einen Test zu planen, müssen Sie die Anzahl der zu testenden internen und externen IPs sowie die Größe des Subnetzes kennen.
* Drahtlose Penetrationstests
Ein Pentest, der speziell auf das WLAN (Wireless Local Area Network) eines Unternehmens abzielt, einschließlich drahtloser Protokolle und Bluetooth. Außerdem lassen sich damit Zugangspunkte, Schwachstellen in der Verschlüsselung und WPA-Schwachstellen ermitteln. Um einen Pentest durchführen zu können, müssen die Tester die Anzahl der zu prüfenden drahtlosen und Gastnetzwerke, Standorte und SSIDs kennen.
* Testen von Webanwendungen
Eine umfassende Bewertung von Websites und benutzerdefinierten Anwendungen, die speziell über das Internet bereitgestellt werden, wobei Codierungs- und Entwicklungsfehler aufgedeckt werden, die böswillig ausgenutzt werden könnten. Bevor ein Web-Pentest in Angriff genommen wird, muss unbedingt geklärt werden, wie viele Anwendungen getestet werden müssen, einschließlich der Anzahl der statischen Seiten, der dynamischen Seiten und der zu prüfenden Eingabefelder.
* Testen von mobilen Anwendungen
Penetrationtest mobiler Anwendungen auf den Betriebssystemen IOS und Android, um Schwachstellen in den Bereichen Authentifizierung, Autorisierung, Datenlecks und Sitzungsverarbeitung zu ermitteln. Um einen Pentest durchführen zu können, müssen die Tester sowohl die Betriebssystemtypen als auch die Versionen kennen. Außerdem können die Tester eine zu testende App, die Anzahl der API-Aufrufe und die Anforderungen für Jailbreaking verwenden.
TISAX®, ISO 27001 und Penetrationtests
Wie Sie vielleicht wissen, gibt es verschiedene internationale und branchenspezifische Normen für die Informationssicherheit. ISO 27001 ist die internationale Norm für Informationssicherheit. Andererseits ist TISAX® der Standard für die Automobilindustrie, wenn es um die Informationssicherheit geht.
Warum sagen wir das? Weil beide Normen eine sichere und geschützte Infrastruktur für die Informationssicherheit erfordern. Unabhängig von der Branche des Kunden muss der Kunde nachweisen können, dass regelmäßige Schwachstellenscans durchgeführt werden. Die Ergebnisse werden überprüft und es werden entsprechende Sicherheitsmaßnahmen ergriffen. In Kürze werden wir uns mit den Unterschieden zwischen Penetrationstests und Schwachstellenscans befassen.
Darüber hinaus verlangen Qualitätsmanagement-Standards wie IATF (QM für die Automobilindustrie) auch Pentesting-Ergebnisse als Sicherheitsnachweis von auditierten Unternehmen.
Langer Rede kurzer Sinn: Je größer das Unternehmen, desto detailliertere Pentests müssen gemäß den Informationssicherheitsstandards durchgeführt werden. Daher werden Penetrationstests besser von professionellen Drittanbietern durchgeführt. Daher die ethischen Hacker.
Was ist der Unterschied zwischen Penetrationstests und Schwachstellen-Scans?
Penetrationstests und Schwachstellenscans werden von vielen Menschen als identisch angesehen. Andererseits sind sie wie zwei Seiten einer Medaille. Sie sind recht unterschiedlich, aber sie sind auch miteinander verbunden. Schwachstellen-Scans suchen nach bekannten Schwachstellen in Ihren Systemen und melden potenzielle Schwachstellen. Penetrationstests zielen darauf ab, Schwachstellen in der Architektur Ihres IT-Netzwerks auszunutzen und festzustellen, inwieweit sich ein böswilliger Angreifer unbefugt Zugang zu Ihren Anlagen verschaffen kann.
Nach dem Schwachstellen-Scan können wir die Ergebnisse als Anhaltspunkt nutzen, um uns auf eine tiefergehende Perspektive und Nutzung der Penetrationstests zu konzentrieren. Deshalb verwenden wir sie in Kombination.
Ergebnis
Die ausgewerteten Ergebnisse eines Pentests sind eine wichtige Grundlage für die Beurteilung des aktuellen Sicherheitsniveaus Ihrer IT-Systeme. Sie liefern den Verantwortlichen Ihres Unternehmens aufschlussreiche Informationen über festgestellte Sicherheitslücken, ihre Aktualität und ihre potenziellen Auswirkungen auf die Funktionalität und Leistung des Systems. Ein erfahrener Penetrationstester präsentiert die Pentest-Ergebnisse auch mit einer Liste von Empfehlungen für Abhilfemaßnahmen und leitet die Kunden dazu an, ein zuverlässiges Sicherheitssystem gemäß OWASP und CVSS zu entwickeln und ihre künftigen Investitionen in die Cybersicherheit zu priorisieren. Auch wenn bei einem Pentest automatisierte Tools zum Einsatz kommen können, liegt der Schwerpunkt meist auf den manuellen Fähigkeiten, dem Fachwissen und der Erfahrung der Penetrationstester.
Welchen Weg soll ich nach dem Pentest einschlagen?
So wichtig ein Pentest auch ist, viel wichtiger ist es, die Ergebnisse auszuwerten und zu handeln. Leider ist der häufigste Fehler, einen Pentest schnell durchführen zu lassen, den Bericht zu prüfen und nur sehr dringende Schwachstellen zu schließen. Es kommt häufig vor, dass mittelschwere Schwachstellen nach dem Pentest nicht geschlossen werden und dieselben Schwachstellen beim nächsten Pentestlauf wieder auftauchen. Um einen hohen Mehrwert für die durchgeführte Arbeit zu erzielen, wird empfohlen, mindestens die folgenden Punkte anzuwenden:
- Präsentation der Ergebnisse für das Management im Rahmen einer Risikokarte, anstatt nur Schwachstellen zu benennen (wenn diese Schwachstelle von Hackern ausgenutzt wird, sind das die Auswirkungen usw.)
- Detaillierte Prüfung des Berichts und Bestimmung der Verantwortlichkeiten für die einzelnen Feststellungen.
- Treffen mit Systemadministratoren und Softwareentwicklern und Austausch der Ergebnisse.
- Weiterverfolgung des Abschlusses der Feststellungen.
- Bestimmung des nächsten Pentest-Termins
Haben Sie Fragen oder wollen Sie mehr über Pentests erfahren? Dann buchen Sie ein kostenloses Termin mit uns.
Oder besuchen Sie unsere Penetration Testing Services Seite.
Zusammenfassung
Sicherheitsangriffe können Ihre Infrastruktur sowie sensible Daten kompromittieren, was zu einer kritischen Schädigung des Rufs des Unternehmens führen und die Geschäftstätigkeit in finanzieller, betrieblicher und rechtlicher Hinsicht beeinträchtigen kann. Daher kann Pentest Ihnen definitiv helfen, kostspielige Sicherheitsverletzungen zu vermeiden. Auch die Kombination von Pentest mit Vulnerability Scanning ist immer eine gute Idee, um aussagekräftigere Erkenntnisse über Schwachstellen und potenzielle Angriffspunkte in Ihrer IT-Infrastruktur zu erhalten.
Aus der Sicherheitsperspektive kann nur Pentest eine realistische Einschätzung der “Gesundheit” Ihres Unternehmens und seiner Widerstandsfähigkeit gegenüber Cyberangriffen vornehmen. Außerdem kann Pentest die Stärke der IT-Infrastruktur Ihres Unternehmens erklären, unabhängig davon, ob ein bösartiger Angriff erfolgreich war oder nicht. Vor allem aber kann Pentest Ihnen dabei helfen, Prioritäten für Ihre Sicherheitsinvestitionen zu setzen, die Branchenvorschriften einzuhalten und grundlegende und umfassende Abwehrmechanismen zu entwickeln, damit Ihr Unternehmen langfristig vor künftigen Angriffen geschützt ist.
Über den Autor
Can Adiguzel ist der Gründer von 360 Digital Transformation. Er ist TISAX-Berater und ISO 27001 Lead Auditor. Er ist seit mehr als 11 Jahren im IT-Projektmanagement tätig. Seine Leidenschaft ist die Informationssicherheit für den Mittelstand und er hilft dem Mittelstand bei der Bewältigung seiner Herausforderungen im Bereich der Informationssicherheit mit einem praxisnahen Beratungsansatz.
