Simulation von Hacker-Angriffen Pentests ja, aber bitte richtig!

Anbieter zum Thema

FTAPI Software GmbH

Pathlock Deutschland | akquinet enterprise solutions GmbH

Outpost24 GmbH

Penetrationstests sind wichtig, aber tun sie das auch, was sie tun sollen? Ohne eine gründliche Planung und professionelle Realisierung führen minderwertige Pentests zu unentdeckten Schwachstellen und setzen Unternehmen unnötigen Angriffsmöglichkeiten aus.

Eine der effektivsten Methoden, um Schwachstellen in einem Sicherheitskonzept aufzudecken, ist die Durchführung von geplanten Hacker-Angriffen auf das System durch Dritte. Bei Penetrationstests, auch Pentests genannt, geht es also darum, Lücken in der IT-Security aufzudecken, damit sie geschlossen werden können, bevor jemand mit böswilligen Absichten daraus Nutzen ziehen kann. Es gibt verschiedene Arten von Pentests, die auf unterschiedliche Aspekte eines Unternehmens abzielen.

Von der Netzwerk-Infrastruktur über Anwendungen und Geräte bis hin zu den Mitarbeitern gibt es viele potenzielle Angriffsmöglichkeiten für einen Hacker, der es auf ein Unternehmen abgesehen hat. Der Vorteil eines erfahrenen unabhängigen Pentest-Partners liegt darin, dass er unvoreingenommen an das Problem herangeht und versucht, einen böswilligen Hacker nachzuahmen, indem er nach Schwachstellen sucht und verschiedene Techniken und Tools ausprobiert, um in ein Netzwerk einzudringen.

In der Folge sind häufige Fehler und hilfreiche Tipps aufgeführt, die den Anwender dabei unterstützen können, Bedrohungen zu vermeiden:

Unzureichendes Risk-Management

Eines der ersten Dinge, die der Anwender tun kann, um die Sicherheitslage zu verbessern, ist, die möglichen Risiken zu bewerten. Dadurch weiß das Unternehmen, wo die größten Risiken schlummern. Diese Informationen müssen als Grundlage für die Ziele der Pentests dienen. Das heißt, eine solche Priorisierung von Risiken hilft dem Anwender dabei, die Sicherheitsanstrengungen auf die Bereiche zu konzentrieren, in denen sie den größten Nutzen bringen können.

Tipp: Die Pentests sollten stets an das schlimmstmögliche Szenario für das Unternehmen ausgerichtet werden. Es ist sicher einfach, kleinere potenzielle Probleme aufzudecken, aber eine große Ablenkung bedeuten, wenn es um die Bedrohungen geht, die essenziell gefährlich sind.

Falsche Tools im Einsatz

Es gibt eine Vielzahl von Pentest-Tools, aber es erfordert erhebliches Fachwissen, um zu wissen, welche Tools wo eingesetzt und wie sie richtig konfiguriert werden müssen. Wer glaubt, er könnte Pentest-Tools von der Stange kaufen und sie von der internen IT-Abteilung ausführen lassen, wird womöglich ein böses Erwachen erleben. Ohne erfahrene Experten im Haus, ist gut beraten, einen Dritten mit echtem Fachwissen zu engagieren. Das BSI stellt dafür zum Beispiel eine Liste zertifizierter IT-Sicherheitsdienstleister in den Geltungsbereichen IS-Revision und IS-Penetrationstests zur Verfügung.

Pentester können zwar teuer sein, aber sie werden wahrscheinlich nur für einen kurzen Zeitraum benötigt, so dass sich Automatisierungstools lohnen. Eine automatisierte Pentesting-Plattform kann eine gute Möglichkeit sein, Schutzmaßnahmen zu validieren und einen gewissen kontinuierlichen Schutz zu erhalten. Diese sollten jedoch sorgfältig ausgewählt werden. Pentest-Partner bieten dazu Beratungen an.

Unklare Evaluierungen

Die externen Pentester müssen im Anschluss verständliche Berichte erstellen, damit die entdeckten Schwachstellen und ihre potenziellen Auswirkungen auf das Unternehmen richtig eingeordnet werden können. Dafür sind leicht verdauliche Informationen notwendig, die gut erklären, worum es sich bei dem einen oder anderen Sicherheitsproblem handelt, welche Folgen es haben kann, wenn es nicht behoben wird, und wie genau die Behebung erfolgen soll.

Ohne klare Ziele kann der Bericht auch nicht zielführend dem Unternehmen eine klare Richtung weisen, da es dann schwierig sein könnte, die wirklich kritischen Angriffsvektoren zu erkennen, die strategische Werte bedrohen. Daher sind Drittanbieter oder automatisierte Tools zu vernachlässigen, die einfach nur Tausende von Schwachstellen aufzeigen, ohne eine Richtung vorzugeben. Gute Berichte filtern das Rauschen und die Fehlalarme heraus und heben hervor, was für das Unternehmen wichtig ist.

Vorsicht vor Checklisten!

Wenn Drittanbieter beim Pentesting fast ausschließlich nur mit Checklisten hantieren, dann läuft der Anwender Gefahr, etwas zu übersehen. Die Einhaltung von Vorschriften ist zwar wichtig und richtig, aber nicht der einzige Grund, warum Pentests durchgeführt werden sollen. Wenn der Fokus auf dem Abhaken von Punkten liegt, erhält der Anwender das falsche Gefühl von Sicherheit. Nicht zuletzt, weil Cyberkriminelle nicht nach Checklisten arbeiten.

Unterbrechung des Geschäftsbetriebs

Pentests müssen richtig geplant werden, um die möglichen Auswirkungen auf wichtige Geschäftssysteme berücksichtigt zu können. Erfolgreiche Hacker nutzen oft Schwachstellen aus, ohne den Betrieb zu unterbrechen, und das sollten auch die beauftragten Pentester tun. Für Drittanbieter muss also vorab klar sein, dass die Tests in einer Produktionsumgebung stattfinden. In einem Blackbox-Szenario, in dem der Pentester keinen Überblick über die Infrastruktur hat, ist das Risiko einer Unterbrechung natürlich ungleich größer.

Veraltete Technik vermeiden

Jeder Pentest-Plan, der sich nicht weiterentwickelt, ist im Grunde wertlos. Ständig werden neue Techniken, neue Tools und neue Schwachstellen entwickelt. Ein guter Pentesting-Partner hat die neuesten Hacking-Techniken in seiner Strategie integriert.

Unregelmäßige Pentests

Jährliche Pentests mögen zwar üblich sein, geben jedoch wenig Gewissheit. Das heißt, unregelmäßige Tests leisten nur eine Momentaufnahme des Schutzes zum Zeitpunkt der Durchführung des Tests. Besser ist es, die Verteidigungsmaßnahmen kontinuierlich zu überprüfen und erneut zu testen, um zu gewährleisten, dass die Schwachstellen ordnungsgemäß behoben wurden. Dies ist ein weiteres Argument für automatisierte und geeignete Pentest-Plattformen.

Versäumnisse des Managements

Es ist sicherzustellen, dass jemand für die Reaktion auf die Pentest-Ergebnisse und der automatisierten Tools verantwortlich ist. Diese Personalie muss den gefundenen Problemen Priorität einräumen und sie zeitnah beheben. Denn kostspielige Datendiebstähle sind oft das Ergebnis bekannter Schwachstellen, die Unternehmen nicht behoben haben. Tests, die sicherstellen, dass erkannte Schwachstellen ordnungsgemäß beseitigt wurden, sollten Teil der laufenden Pentests sein. Unzureichend geplante und durchgeführte Pentests bergen dagegen mitunter hohe Gefahren für Unternehmen.

(ID:48652203)