Penetration Testing Schwachstellen im Unternehmen gezielt aufdecken

Jede IT-Umgebung verlangt nach ihren eigenen Sicherheitsmaßnahmen. Ein Penetrationstest kann genau beleuchten, welche Schwachstellen im Unternehmen bestehen. Erst dann sollte man über neue und zielgerichtete Security-Lösungen entscheiden.

Anbieter zum Thema

FTAPI Software GmbH

Pathlock Deutschland | akquinet enterprise solutions GmbH

Die Security-Strategie vieler Unternehmen besteht darin, die Sicherheitssysteme kontinuierlich aufzurüsten. Eine Garantie, dass innerhalb der komplexen Strukturen alle Schwachstellen geschlossen werden, gibt es aber nicht. Vor einer Investition sollte man deshalb zunächst die Bedrohungslage analysieren und die Sicherheit der IT-Systeme auf Herz und Nieren prüfen.

Penetrationstest erlauben es, ein echtes Abbild der Gefahrensituation zu erhalten, da sie gezielt nach Anfälligkeiten im Unternehmen suchen. Um Penetrationstests durchzuführen sollten IT-Verantwortliche allerdings genau wissen, welche Testarten und -szenarien möglich sind und wie man solche Tests gut vorbereitet umsetzt.

Die allgemein zunehmende Bedrohung resultiert zu einem großen Teil aus der Vernetzung der gesamten IT. Moderne Unternehmen sind mehr denn je von ihren Daten abhängig und müssen diese ihren Geschäftspartnern, Mitarbeitern oder weltweiten Geschäftsfilialen zur Verfügung stellen.

Die Wichtigkeit der Informationen bei gleichzeitiger Vernetzung ist die Basis für kriminelle Handlungen und Angriffe – übrigens sowohl von außen als auch von innen. Daten sind ein lohnenswertes und lukratives Ziel für Angreifer.

Deren Geschäftsmodell basiert nicht nur auf dem Diebstahl und Verkauf erbeuteter Informationen. Letztere dienen auch als Mittel zu Erpressung und der Forderung von Lösegeld. In vielen Fällen führen derartige Angriffe zu großen wirtschaftlichen Schäden und auch zum Imageverlust.

Spezielle Bedrohungen je nach Branche

Neben der allgemeinen Bedrohungslage stellt sich die Frage der individuellen Bedrohungssituation. Unternehmen sollten sich die Frage stellen, ob sie zu den besonders gefährdeten Branchen gehören könnten. Beispielsweise sind Organisationen, die mit Kreditkartendaten von Personen arbeiten, ein besonders beliebtes Ziel. Daher müssen sie beispielsweise Sicherheitsstandards wie PCI DSS einhalten.

Das häufig und insbesondere im Mittelstand zitierte Argument, man sei kein lohnendes Ziel für Cyber-Kriminelle, ist ein echtes Problem. Jedes Unternehmen ist interessant für Kriminelle und es kann jeden treffen, ganz gleich ob groß oder klein, bekannt oder unbekannt, national oder international.

Die Angreifer wenden zunehmend ausgeklügelte Strategien an, vorhandene Sicherheitssysteme zu umgehen. Angriffe laufen häufig nach dem gleichen Muster ab: die Kriminellen versuchen Schwachstellen zu erkennen und diese auszunutzen. Angriffspunkte sind meist Webserver oder auch Dienste wie CMS/Datenbanken.

Typische Möglichkeiten, um in ein existierendes System einzudringen, sind schwache Passwörter, schlecht gepatchte oder veraltete Systeme oder Angriffsszenarien wie Client Side Exploitation. Ein weiterer, häufig auftretender Schwachpunkt sind aktive Dienste, die für den eigentlichen Betrieb selten notwendig sind. Als Beispiele seien ungenutzte, teilweise längst vergessene FTP-Zugänge oder frei zugängliche administrative Oberflächen für Firewalls, Router oder Webserver genannt.

Ziele eines Penetrationstests

Aufgrund der Komplexität und der permanenten Veränderung ist es für den einzelnen Administrator schwer, alle potenziellen Schwachstellen zu finden und durch geeignete Maßnahmen die Sicherheit des Gesamtsystems zu gewährleisten. Penetrationstests hingegen untersuchen Systeme gezielt auf alte und neue Schwachstellen und deren Auswirkung auf die gesamte IT-Infrastruktur.

Penetrationstests sollten falls möglich in regelmäßigen Abständen durchgeführt werden, um die Aktualität der eingesetzten Systeme zu prüfen. Zusätzliche Tests empfehlen sich nach größeren Änderungen innerhalb der IT-Infrastruktur. Dazu zählen beispielsweise die Einführung neuer Infrastrukturkomponenten oder neuer Webportale. Als Ergebnis des Tests erhält der Auftraggeber einen detaillierten Bericht über entdeckte Schwachstellen und Empfehlungen für deren Beseitigung.

Unterschiedliche Arten von Penetrationstests

Grundsätzlich ist ein Penetrationstest eine Sicherheitsüberprüfung von IT-Systemen. Dabei geht es jedoch nicht nur um einen Test der Firewalls oder Webserver. Interne Strukturen, wie das WLAN oder die Sicherheit von mobilen Arbeitsgeräten, können ebenso im Fokus eines Penetrationstests stehen. Am häufigsten werden allerdings extern erreichbare Systeme auf deren Anfälligkeit geprüft. Aufgrund der stetigen Anbindung an das Internet ist an dieser Stelle die Angriffswahrscheinlichkeit am höchsten.

Es existieren zwei grundlegende Arten von Penetrationstests:

1. White-Box-Test

Bei White-Box-Tests werden dem Tester alle wichtigen Informationen über die Art der eingesetzten Systeme vorab bekannt gegeben. Der Test kann damit gezielt die bekannten Schwachstellen der jeweiligen Systeme auf deren Auswirkung hin untersuchen.

2. Black-Box-Test

Bei einem Black-Box-Test werden die Informationen dem Tester nicht bekannt gegeben, was dem klassischen Szenario für einen Angriff von außen entspricht. Diese Testvariante beginnt zunächst mit der Informationsbeschaffung. Frei zugängliche Quellen, wie DNS-Datenbanken, Internetforen oder Social Media-Seiten, werden auf verwertbare Informationen durchsucht.

Der Tester nimmt die Rolle eines Hackers ein, der sich Informationen mithilfe von Scanning-Tools beschafft, um möglichst viele Details über Versionen und Patchlevels der eingesetzten Betriebssysteme, Applikationen und Dienste zu erhalten. Diese Informationen sind wichtig, um die potenziell erfolgreichen Angriffsszenarien zu ermitteln.

Automatisiert oder manuell?

Weiterhin unterscheidet man zwischen automatisierten oder manuell durchgeführten Penetrationstests. In vielen Fällen werden beide Varianten eingesetzt, da automatisierte Tools bestimmte Schwachstellen nicht zuverlässig erkennen. Darüber hinaus muss im Vorfeld die Aggressivität des Tests, dessen Intensität und Breite festgelegt werden.

Ein Penetrationstest muss nicht zwangsläufig in einen simulierten Angriff auf die Systeme münden. Oftmals genügt für eine Bewertung des Sicherheitsniveaus eine ausführliche Schwachstellenanalyse. Im Gegensatz zu passiven Tests werden mit steigender Aggressivität die Zielsysteme direkt attackiert, um Schwachstellen gezielt auszunutzen.

Gute Planung ist die halbe Miete

Penetrationstests müssen im Vorfeld gut geplant sein, denn sie können neben den Testresultaten eine Reihe von zusätzlichen Konsequenzen nach sich ziehen. Unbedingt sollte dabei die Gesetzeslage beachtet werden. Grundsätzlich sind in Deutschland Penetrationstests zur Sicherheitsüberprüfung erlaubt.

Vom Auftraggeber ist jedoch sicherzustellen, dass sich die zu testenden Systeme und Daten in seinem Eigentum befinden. Dritte, deren Systeme und Informationen betroffen sein könnten, müssen dem Test vorab zustimmen.

Das Unternehmen muss sich auch darüber im Klaren sein, dass der Tester möglicherweise Zugang zu vertraulichen Daten erlangt. Hierzu gehören Administrator-Passworte, die während des Tests ermittelt werden. Daher ist zwingend eine verbindliche Absprache über den Umgang mit sensiblen Daten und Informationen zwischen den IT-Verantwortlichen und IT-Dienstleistern notwendig.

Darüber hinaus ist es besonders wichtig, dass die Testresultate entweder verschlüsselt oder nicht per Internet an das Unternehmen kommuniziert werden. Die Ergebnisse enthalten in den meisten Fällen hochsensible Informationen, die keinesfalls in fremde Hände gelangen dürfen.

Bei der Auswahl des Dienstleisters, der den Penetrationstest ausführen soll, ist selbstverständlich Vorsicht geboten. Da ein Unternehmen unter Umständen seine Sicherheitsstrategie und seine Schwachstellen offenlegt, sind an dieser Stelle großes Vertrauen, viel Erfahrung und klare vertragliche Absprachen gefordert.

Zudem existieren keine verbindlichen, weltweit standardisierten Verfahren für Penetrationstests. Jedoch gibt es anerkannte Abläufe, Handlungsempfehlungen und Best Practices, wie sie zum Beispiel durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder durch das Open Source Security Testing Methodology Manual (OSSTMM) festgelegt sind.

Fazit

Penetrationstests bieten sehr gute Möglichkeiten, das Sicherheitsniveau eines IT-Systems zu beurteilen. Regelmäßig ausgeführt lassen sich Schwachstellen frühzeitig erkennen und deren Ausnutzung durch Angreifer verhindern. Eine beständige Durchführung ermöglicht darüber hinaus auch die stetige Weiterentwicklung der Sicherheit der IT-Systeme. Die Ergebnisse zeigen genau auf, ob und wo die derzeitige Sicherheitsstrategie Lücken hat und führen somit zu einer gezielten und berechenbaren Investition in die Sicherheit des Unternehmens vor Angriffen von außen als auch von innen.

* Matthias Schütte ist Account Manager Security bei MTI Technology.

(ID:43201830)