Automatisierung ist die Zukunft Automatisiertes Pentesting?

Anbieter zum Thema

FTAPI Software GmbH

Outpost24 GmbH

mod IT Services

Cyberkriminelle entwickeln stetig neue Methoden um IT-Netzwerke zu hacken und Daten abzugreifen. Damit Schritt zu halten, ist für IT-Admins nicht einfach. Automatisierte Security Validation ist eine Lösung, die genau das kann.

Im Bereich Cyberkriminalität hat sich in den letzten Jahren einiges verändert. Äußere Faktoren wie z. B. die pandemiebedingte Ankurbelung der Digitalisierung oder der Ukraine-Krieg haben viel dazu beigetragen. Die stetig steigende Anzahl der Cyberangriffe auf Unternehmen, Organisationen sowie auf Betriebe der Kritischen Infrastruktur (KRITIS) ist besorgniserregend. Gleiches gilt für den daraus entstandenen Schaden, der immens hoch ist. Laut einer Bitkom-Studie stieg branchenübergreifend die Zahl freier Stellen für IT-Fachkräfte im Jahr 2021 auf 96.000. Dieser Fachkräftemangel setzt IT-Abteilungen von Unternehmen somit zusätzlich stark unter Druck. Viele Sicherheitsteams haben es nämlich tagtäglich mit langen Listen priorisierter Schwachstellen zu tun, mit denen sie von Vulnerability-Management-Tools überflutet werden. Fehlende Kapazitäten können zur Überarbeitung führen, was wiederum vermehrte Fehler im IT-Betrieb zur Folge haben kann. Wie in vielen Bereichen, in denen Fachkräfte mit einem enormen Arbeitsaufwand konfrontiert sind, bietet Automatisierung durch Effizienz und Zeitersparnis die nötige Abhilfe. Im Bereich der IT-Security sind diese Faktoren in Automatisierte Security Validation (ASV), auch automatisierte Pentesting-Lösungen genannt, vereint.

Automatisiertes Pentesting: So funktioniert’s

Für die Durchführung eines automatisierten Pentests wird im Prinzip nicht viel benötigt. Zum Einsatz kommt ein performantes Endgerät oder ein Server, auf dem die Software installiert werden kann. Außerdem ist eine NVIDIA Grafikkarte mit hoher Leistung notwendig, um Passwort-Hashes in Echtzeit cracken zu können. Im nächsten Schritt muss für den Scan mit Bedacht ein guter Scope ausgesucht werden. Es muss also bekannt sein, welche IP-Kreise welche Systeme umfassen. Das ist wichtig, um einen erfolgreichen Test ohne Betriebsunterbrechungen zu ermöglichen. Außerdem muss im Vorfeld definiert werden, welche Systeme getestet werden sollen und wie weit dabei vorgegangen werden darf. Sobald diese Einstellungen definiert sind, kann der Test losgehen. Dabei setzt die Software die gleichen Methoden und Taktiken ein, die Hacker auch anwenden würden – und das in Echtzeit.

Nicht nur simulieren: Reales Hacken

Wichtig ist, dass eine Security Validation Software nicht nur simuliert, sondern das IT-Netzwerk tatsächlich infiltriert und Exploits angewendet werden. Das sollte komplett On-Premise und ohne Internet-Verbindung geschehen. Nur wenn das System wirklich angegriffen wird, kann vollumfänglich ermittelt werden, welche Einfallstore den meisten Schaden anrichten können. Wer lediglich eine Schwachstelle erkennt, ohne weiter vorzudringen, kann das gesamte Ausmaß nicht ermessen. Mittels der sicheren Echtzeit-Angriffe kann exakt nachvollzogen werden, wie sich Cyberkriminelle Zugang zum Netzwerk verschaffen könnten, das getestet wird. Die Einteilung der gefundenen Schwachstellen erfolgt in Prioritäten. Vorschläge inklusive der Lösungsvorschläge wie beispielsweise Group Policy Object-Konfiguration (GPO) werden mitgeliefert. Auf diese Weise wird ein guter Überblick geliefert, der in einem nachfolgenden Reporting ersichtlich wird. Durch den Report können im Anschluss an den Test alle durchgeführten Angriffsoperationen nachvollzogen werden.

Vorteile der Automatisierung

Ein nicht zu unterschätzendes Argument für eine automatisierte Pentesting-Lösung ist die Tatsache, dass Cyberkriminelle ebenfalls automatisieren. Wer dementsprechend lediglich einmal im Jahr einen manuellen Pentest machen lässt, gerät damit in eine riskante Ausgangslage. Automatisierte Pentests können dagegen wöchentlich durchgeführt werden, ohne den laufenden Betrieb des Unternehmens zu beeinträchtigen. Wenn die Tests regelmäßig laufen gelassen werden, kann sichergestellt werden, dass das Netzwerk den neuesten komplexen Angriffen standhalten kann. Das ist besonders wichtig, denn: Die Übernahme eines IT-Netzwerkes kann schon innerhalb von 10 Minuten vollzogen werden. Ein weiterer Vorteil von automatisierten Lösungen ist die leichte Bedienung, für die keine besonderen Skills von Nöten sind. Im Vergleich dazu wird bei einem manuellen Pentest z. B. eine hochqualifizierte IT-Fachkraft benötigt, welche selten zu finden und dementsprechend kostenintensiv sind.

Eine wichtige Komponente für 360-Grad-IT-Security

Ein 360-Grad-Ansatz bedeutet, dass die Infrastruktur der IT-Security ganzheitlich gedacht werden muss. Demnach sind für ein sicheres Netzwerk verschiedene Komponenten und Ansätze eine Notwendigkeit. Das bedeutet unter anderem, dass Pentesting allein nicht ausreicht. Erst wenn ein solides Patchmanagement sowie ein langfristiges Schwachstellenmanagement im Einsatz sind, ist es sinnvoll, automatisiertes Pentesting als dritte Komponente hinzuzufügen. Denn erst wenn Unternehmen ihre Schwachstellen im Netzwerk unter Kontrolle haben, können die komplexeren Schwachstellen beim Pentest ausfindig gemacht werden. Patch- und Schwachstellenmanagement sind fundamentale Bestandteile einer soliden IT-Security-Strategie. Da beim Patchmanagement jedoch lediglich diejenigen Sicherheitslücken gepatcht werden können, die schon bekannt sind, bleiben dementsprechend Lücken in der Security offen. Beim Schwachstellenmanagement wiederum liefern die Scans häufig eine so große Anzahl an Sicherheitslücken, dass sich IT-Administratoren nicht auf die wirklich kritischen fokussieren können. Das kann durch die automatisierte Pentesting-Lösung übernommen werden, die ca. 30 von vielleicht mehreren Tausend Schwachstellen identifiziert, über die sich eine Ransomware im Netzwerk ausbreiten und Daten verschlüsseln kann. Erst wenn die drei Komponenten in einer umfassenden IT-Security-Strategie zusammenkommen, können sie sich aufgrund ihrer verschiedenen Ansätze ergänzen und für einen soliden Schutz sorgen. Letztendlich kann man sich jedoch nie zu 100 Prozent absichern.

Im Hinblick auf die sich verschärfende Lage im Bereich Cybersecurity und den Fachkräftemangel in der IT-Branche ist die Schlussfolgerung zulässig, dass die Zukunft in automatisierten Lösungen steckt. Dieser Umstand wird besonders beim Thema Pentesting deutlich. Diese Komponente ist vor allem aufgrund der Tatsache von großer Bedeutung, dass sich die Methoden krimineller Hacker zur Infiltrierung von Unternehmensnetzwerken und Verschlüsselung von Daten stetig weiterentwickeln. IT-Sicherheitsteams müssen deshalb im Ernstfall schnell und agil handeln können. Im Bestfall wurden die möglichen Einfallstore im Netzwerk schon bereinigt.

Über den Autor: Sebastian Brabetz ist in der Geschäftsleitung bei der mod IT Services GmbH für die Professional Security Solutions verantwortlich. Er ist als „Offensive Security Certified Professional“ sowie als „Tenable Certified Security Engineer“ zertifiziert und hat darüber hinaus zwei Bücher zum Thema „Penetration Testing“ veröffentlicht.

(ID:48796769)