Was Penetrationstests wirklich sind — und warum sie zur Geschäftsnotwendigkeit geworden sind, nicht zum technischen Luxus
Dardanex Team
Von Dardanex Team
Es gibt eine grundlegende Einschränkung darin, wie die meisten Organisationen ihre eigene Sicherheit bewerten. Interne Teams bewerten die Kontrollen, die sie implementiert haben, und überwachen die Alarme der eingesetzten Tools. Was sie nicht objektiv bewerten können, ist, ob diese Kontrollen einem entschlossenen Versuch standhalten würden, sie zu umgehen.
Penetrationstests adressieren diese Einschränkung direkt. Es ist die Praxis, qualifizierte Sicherheitsexperten zu beauftragen, die Techniken und Methoden eines echten Angreifers gegen die Systeme, Netzwerke und Anwendungen einer Organisation zu simulieren — mit dem expliziten Ziel, ausnutzbare Schwachstellen zu identifizieren, bevor sie von jemandem mit böswilliger Absicht entdeckt werden können.
#
Was ein Penetrationstest nicht ist
Ein automatisierter Schwachstellenscan identifiziert bekannte Schwachstellen, ist aber kein Penetrationstest. Er kann keine Schwachstellen verketten, um zu demonstrieren, wie ein Angreifer vom initialen Zugriff zu einem sensiblen Ziel navigieren würde, und er kann keine Logikfehler in Anwendungsworkflows identifizieren.
Ein Penetrationstest geht weiter. Ein qualifizierter Tester wendet dieselbe Methodik, Kreativität und Beharrlichkeit an, die ein Gegner mitbringen würde. Das Ergebnis ist eine Beschreibung, wie ein Angreifer die Umgebung realistisch kompromittieren könnte.
#
Die wichtigsten Kategorien von Penetrationstests
Netzwerk-Penetrationstests bewerten die interne und externe Netzwerkinfrastruktur auf Schwachstellen, die ausgenutzt werden könnten, um unbefugten Zugriff zu erlangen oder sich lateral zwischen Systemen zu bewegen.
Web-Application-Penetrationstests bewerten die Sicherheit webbasierter Anwendungen gegen Angriffskategorien des OWASP Top Ten: Injection-Schwachstellen, fehlerhafte Authentifizierungsimplementierungen und anwendungsspezifische Logikfehler.
Social-Engineering-Assessments bewerten den menschlichen Faktor der Sicherheitslage einer Organisation — die Anfälligkeit der Mitarbeiter für Phishing-Kampagnen und Pretexting-Anrufe. Diese Assessments zeigen häufig, dass selbst die ausgefeiltesten technischen Kontrollen durch eine einzige gut formulierte Nachricht an einen Mitarbeiter umgangen werden können.
Red-Team-Übungen stellen die umfassendste Form des gegnerischen Testens dar, bei der ein qualifiziertes Team ein ausgedehntes, zielorientiertes Engagement gegen die gesamte Breite der Abwehrmechanismen einer Organisation durchführt.
#
Was ein Penetrationstest produziert
Der Wert eines Penetrationstests liegt nicht in seiner Durchführung, sondern in seinem Ergebnis. Ein professionelles Engagement endet mit einem detaillierten Bericht mit zwei Hauptzielgruppen.
Die Zusammenfassung für die Geschäftsführung kommuniziert Ergebnisse in Geschäftsbegriffen: Was getestet wurde, was erfolgreich kompromittiert wurde, welche realistische Geschäftsauswirkung jeder Befund hätte und priorisierte Empfehlungen.
Der technische Befundabschnitt dokumentiert jede Schwachstelle im Detail: wie sie identifiziert wurde, wie sie ausgenutzt wurde und welche spezifischen Abhilfemaßnahmen erforderlich sind.
#
Das Geschäftsargument
Ein Penetrationstest-Engagement, das eine kritische Schwachstelle identifiziert, bevor sie ausgenutzt wird, zahlt sich durch vermiedene Verletzungskosten, Bußgelder und Reputationsschäden vielfach aus. Ein Engagement, das keine kritischen Schwachstellen identifiziert, liefert etwas gleich Wertvolles: dokumentierte, unabhängige Belege dafür, dass die Sicherheitskontrollen der Organisation wie vorgesehen funktionieren.
---
Zur Besprechung eines auf Ihre Organisation zugeschnittenen Penetrationstest-Engagements kontaktieren Sie unser Team.