Mobile-Menu

Penetration Testing

Schwachstellen im Unternehmen gezielt aufdecken

Seite: 2/3

Anbieter zum Thema

FTAPI Software GmbH
Pathlock Deutschland | akquinet enterprise solutions GmbH

Ziele eines Penetrationstests

Aufgrund der Komplexität und der permanenten Veränderung ist es für den einzelnen Administrator schwer, alle potenziellen Schwachstellen zu finden und durch geeignete Maßnahmen die Sicherheit des Gesamtsystems zu gewährleisten. Penetrationstests hingegen untersuchen Systeme gezielt auf alte und neue Schwachstellen und deren Auswirkung auf die gesamte IT-Infrastruktur.

Penetrationstests sollten falls möglich in regelmäßigen Abständen durchgeführt werden, um die Aktualität der eingesetzten Systeme zu prüfen. Zusätzliche Tests empfehlen sich nach größeren Änderungen innerhalb der IT-Infrastruktur. Dazu zählen beispielsweise die Einführung neuer Infrastrukturkomponenten oder neuer Webportale. Als Ergebnis des Tests erhält der Auftraggeber einen detaillierten Bericht über entdeckte Schwachstellen und Empfehlungen für deren Beseitigung.

Unterschiedliche Arten von Penetrationstests

Grundsätzlich ist ein Penetrationstest eine Sicherheitsüberprüfung von IT-Systemen. Dabei geht es jedoch nicht nur um einen Test der Firewalls oder Webserver. Interne Strukturen, wie das WLAN oder die Sicherheit von mobilen Arbeitsgeräten, können ebenso im Fokus eines Penetrationstests stehen. Am häufigsten werden allerdings extern erreichbare Systeme auf deren Anfälligkeit geprüft. Aufgrund der stetigen Anbindung an das Internet ist an dieser Stelle die Angriffswahrscheinlichkeit am höchsten.

Es existieren zwei grundlegende Arten von Penetrationstests:

1. White-Box-Test

Bei White-Box-Tests werden dem Tester alle wichtigen Informationen über die Art der eingesetzten Systeme vorab bekannt gegeben. Der Test kann damit gezielt die bekannten Schwachstellen der jeweiligen Systeme auf deren Auswirkung hin untersuchen.

2. Black-Box-Test

Bei einem Black-Box-Test werden die Informationen dem Tester nicht bekannt gegeben, was dem klassischen Szenario für einen Angriff von außen entspricht. Diese Testvariante beginnt zunächst mit der Informationsbeschaffung. Frei zugängliche Quellen, wie DNS-Datenbanken, Internetforen oder Social Media-Seiten, werden auf verwertbare Informationen durchsucht.

Der Tester nimmt die Rolle eines Hackers ein, der sich Informationen mithilfe von Scanning-Tools beschafft, um möglichst viele Details über Versionen und Patchlevels der eingesetzten Betriebssysteme, Applikationen und Dienste zu erhalten. Diese Informationen sind wichtig, um die potenziell erfolgreichen Angriffsszenarien zu ermitteln.

Ergänzendes zum Thema
Penetrationstests in sechs Schritten

1.) Informationsbeschaffung: Öffentlich zugängliche Quellen werden nach verwertbaren Informationen durchsucht. Dazu gehören insbesondere zugewiesene IP-Adressblöcke aus DNS- Registrierungsdatenbanken, Domainnamen, Servernamen, Informationen zu Internetprovidern sowie den verwendeten Systemen und Diensten.

2.) Erkennung: Mithilfe diverser Netzwerk-Tools werden die erkannten IP-Adressen gescannt, um über offene Ports Hinweise auf laufende Dienste und Applikationen zu erhalten. Darüber hinaus versucht der Tester, die bisherigen Erkenntnisse über die Topologie des Zielnetzes zu bestätigen.

3.) Fingerprinting: Das Fingerprinting hilft dem Tester möglichst detaillierte Informationen über eingesetzte Betriebssysteme, Applikationen und Dienste zu erhalten. Besonders interessant sind dabei Informationen zu Versionen und Patchlevel. Das kann zum Beispiel über eine Analyse des TCP-Streams erfolgen.

4.) Schwachstellensuche: Je genauer die durch das Fingerprinting gewonnenen Informationen sind, desto exakter und erfolgreicher kann die Suche nach geeigneten Exploits beziehungsweise Schwachstellen erfolgen. Hierbei werden zumeist Open-Source-Werkzeuge genutzt, die auch Cyber-Kriminellen frei zur Verfügung stehen und daher oftmals im Einsatz sind. Das Ergebnis ist eine Schwachstellenliste unterteilt nach System, Applikation und Service beziehungsweise deren jeweiligen Patchlevel.

5.) Simulierter Angriff: Über einen simulierten Angriff werden die Auswirkungen nicht nur direkt am angegriffenen System ermittelt, sondern auch die Auswirkungen auf die gesamte IT-Infrastruktur. Hierunter fallen auch Testmethoden, wie zum Beispiel Password-Cracking oder der Versuch über SQL-Injections Zugriff auf Webserver zu erhalten.

6.) Ergebnis: Das Ergebnis eines Penetrationstests ist immer ein ausführlicher Report. Er listet alle gefundenen Schwachstellen auf und bewertet diese nach ihrem potenziellen Risiko. Zudem werden aus dem Bericht konkrete Handlungsempfehlungen abgeleitet, um die gefundenen Schwachstellen zu schließen.

Automatisiert oder manuell?

Weiterhin unterscheidet man zwischen automatisierten oder manuell durchgeführten Penetrationstests. In vielen Fällen werden beide Varianten eingesetzt, da automatisierte Tools bestimmte Schwachstellen nicht zuverlässig erkennen. Darüber hinaus muss im Vorfeld die Aggressivität des Tests, dessen Intensität und Breite festgelegt werden.

Ein Penetrationstest muss nicht zwangsläufig in einen simulierten Angriff auf die Systeme münden. Oftmals genügt für eine Bewertung des Sicherheitsniveaus eine ausführliche Schwachstellenanalyse. Im Gegensatz zu passiven Tests werden mit steigender Aggressivität die Zielsysteme direkt attackiert, um Schwachstellen gezielt auszunutzen.

(ID:43201830)

Weiterführende Inhalte