Vom Security Assessment zum Penetrationstest Wann ein Pentest sinnvoll ist

Anbieter zum Thema

G DATA CyberDefense AG

Vogel IT-Medien GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Um die Sicherheit des eigenen IT-Netzwerkes zu verbessern, holen sich immer mehr Unternehmen externe Unterstützung. Das Angebot an verschiedenen Dienstleistungen ist breit – doch wo sollten IT-Verantwortliche anfangen? Es kommt dabei vor allem darauf an, taktisch klug vorzugehen.

Es gibt verschiedene Ansätze, wenn es um die Auswahl eines Dienstleisters oder eine Dienstleistung geht. Von Security Assessment bis Penetrationstest ist alles verfügbar. Die meisten Dienstleistungen haben ihre Daseinsberechtigung, denn sie alle können einen wertvollen Beitrag zur IT-Sicherheit leisten. Vor einigen Stolperfallen sollten sich Unternehmen jedoch in Acht nehmen, wenn sie das Optimum aus einer Dienstleistung für sich herausholen wollen.

Begrifflichkeiten und Missverständnisse

Um ein passendes Angebot auszuwählen, muss zunächst feststehen, wie der Stand der IT-Sicherheit im Unternehmen ist. Es geht hier ganz grundsätzlich darum, ob es bereits Bemühungen in Richtung eines Sicherheitskonzeptes gegeben hat. Abhängig davon lässt sich zumindest schon einmal die Auswahl eingrenzen. Der Erkenntnisgewinn etwa aus einem Penetrationstest ist nicht besonders hoch, wenn eine Verteidigung praktisch nicht existent ist. Ebenso könnte man versuchen, die Stabilität eines Kartenhauses zu testen, indem man es anzündet. Man wird erfahren, was vorher schon klar ist: dass ein schlecht gesichertes Netzwerk mit trivialen Mitteln angreifbar ist. Dafür braucht es keinen besonders tiefen Griff in die virtuelle Werkzeugkiste. Sinnvoller ist es, die Verteidigungsfähigkeit und Resilienz des Netzwerkes zu testen.

In einigen Ausnahmefällen kann ein Penetrationstest jedoch durchaus der initiale Schritt sein. Gerade, wenn in der Vergangenheit Wünsche, Bedenken und Empfehlungen hinsichtlich der Sicherheit ungehört verhallt sind, wird ein Penetrationstest zum unsanften Weckruf für die Chefetage. Wenn ein externer Berater Sicherheitslücken aufdeckt, hat das oft eine andere Qualität und Strahlkraft als die Mahnungen von Mitarbeitenden.

Probates Mittel

Ein Penetrationstest sollte also nicht unbedingt an erster Stelle stehen, wenn es darum geht, ein neues Sicherheitskonzept von Grund auf neu aufzubauen. Doch auch für IT-Verantwortliche, die gerade erst am Anfang des Projektes stehen, gibt es Angebote, die durchaus gewinnbringend sind.

Ein guter Anfang ist ein Security Assessment – hier geht es um eine Bestandsaufnahme, die in erster Linie eine wert- und wertungsfreie Übersicht über bestehende Sicherheitsmaßnahmen gibt. Der Aspekt „wertungsfrei“ ist dabei wichtig – denn es geht ausdrücklich nicht darum, Verantwortliche an den Pranger zu stellen. Dabei gibt es zwei wesentliche Bereiche: den technischen Bereich und den prozessbasierten Teil. Fragebögen können hier ebenso zum Einsatz kommen wie automatisierte Tools. Am Ende steht eine Gegenüberstellung des aktuellen Ist-Zustandes und Empfehlungen für Maßnahmen zur Behebung eventueller Schwachstellen. Dabei finden sowohl bestehende technische Maßnahmen als auch Prozesse Beachtung: das Vorhandensein und die Aktualität von Notfallplänen, Off- und Onboarding-Prozessen spielt eine Rolle, ebenso wie technische Gegebenheiten wie etwa Datensicherungen, Redundanz bestimmter Systeme, Updates und Patches sowie die Erreichbarkeit einzelner Maschinen über das Internet.

Die „Low Hanging Fruits“ für Angreifer zu identifizieren - also Schwachstellen aufzudecken, die am leichtesten auszunutzen sind und die großen Schaden verursachen können - steht bei einem Security Assessment im Fokus. Sind die hier identifizierten Kernpunkte abgearbeitet, kann ein nächster Schritt ein Penetrationstest sein.

Nächste Schritte

Schon ein Security Assessment kann das Lastenheft einer Unternehmens-IT-Abteilung schnell füllen. Alleine das Entwerfen und Umsetzen von Prozessen kann je nach Unternehmensgröße und Ausgangsbasis mehrere Monate in Anspruch nehmen. Sind diese Aufgaben jedoch abgearbeitet, kann ein Penetrationstest ein sinnvoller nächster Schritt sein. Der Umfang ist variabel und lässt sich auch auf einzelne Teilbereiche der IT-Infrastruktur zuschneiden. So kann ein Unternehmen etwa speziell exponierte Systeme wie Webseiten testen und deren Härtung gegen Angriffe auf die Probe stellen lassen. Auch ein Test des internen Netzwerks ist möglich. Ziel ist es, diejenigen Lücken in der IT-Sicherheit zu finden, die nicht komplett trivial sind. Auch hier schließt der Test mit einem Katalog an Empfehlungen für die Optimierung der Verteidigungsmaßnahmen ab.

Ein prüfender Blick

Weder Security Assessments, noch das Konzept der Penetrationstests sind einheitlich geregelt. Insofern ist die Palette der Leistungen, die unter diesen Begriffen angeboten werden, recht breit. Daher ist es wichtig, sich im Vorfeld genau über den Umfang und Inhalt einer Dienstleistung zu informieren. Ein guter und qualifizierter Dienstleister bietet zwar ein breites Spektrum an und kann viele relevante Szenarien abbilden, aber dennoch einen Test maßschneidern. Hier trennt sich dann schnell die Spreu vom Weizen.

Von rein automatisierten Scans bis hin zu komplett manuellen Vorgehensweisen ist alles erhältlich. Das Leistungsspektrum zu kennen, ist gerade bei Penetrationstests wichtig, denn diese sollen Angriffsmethoden simulieren. Hat ein Dienstleistungs­unternehmen seine Hausaufgaben gemacht, kommen auch nur die für das getestete Unternehmen relevanten Angriffsmodelle zum Einsatz.

Über den Autor: Tim Berghoff ist Security Evangelist bei G DATA CyberDefense.

(ID:49725950)