Pene­tra­ti­on Tests

PENETRATION TEST / PENTEST oder INTERNET SECURITY SCAN?

Ein Inter­net Secu­ri­ty Scan bzw. Inter­net Pene­tra­ti­on Test (kurz Pen­Test) soll­te regel­mä­ßig durch­ge­führt wer­den, um Schwach­stel­len und poten­zi­el­le Risi­ken zeit­ge­recht zu erken­nen und behe­ben zu kön­nen und somit die Gefahr einer erfolg­rei­chen Hacker­at­ta­cke zu minimieren.

Die Tests wer­den in den Vari­an­ten Black­box und als White­box ange­bo­ten. Black­box bedeu­tet, dass kei­ne über die zu prü­fen­den IP-Adres­sen bzw. Domains hin­aus­ge­hen­den Infor­ma­tio­nen zur Ver­fü­gung gestellt wer­den. Bei White­box wer­den hin­ge­gen vor Beginn der Prü­fung ent­spre­chen­de Infor­ma­tio­nen über die rele­van­te Infra­struk­tur zur Ver­fü­gung gestellt und es fin­det eine lau­fen­de Abstim­mung mit dem Auf­trag­ge­ber statt. Hier­durch erhöht sich die Effi­zi­enz der ein­ge­setz­ten Mit­tel und der Detail­lie­rungs­grad der Ergebnisse.

BSI stan­dar­di­sier­ter PenTest

Die Prü­fung wird auf Basis des Durch­füh­rungs­kon­zep­tes für Pene­tra­ti­on Tests des Bun­des­am­tes für Sicher­heit in der Infor­ma­ti­ons­tech­nik (BSI) durch­ge­führt. Dies gewähr­leis­tet eine struk­tu­rier­te und metho­di­sche Vor­gangs­wei­se mit nach­voll­zieh­ba­ren Ergebnissen.

Pha­se 1: Vorbereitung
Defi­ni­ti­on der zu prü­fen­den IP-Adress­be­rei­che bzw. Inter­net­do­mains und der orga­ni­sa­to­ri­schen Rah­men­be­din­gun­gen sowie die Wahl des Prü­fungs­an­sat­zes (White- oder Blackbox).

Pha­se 2: Informationsbeschaffung
Beschaf­fung aller öffent­lich ver­füg­ba­ren Infor­ma­tio­nen über die zu prü­fen­de Infra­struk­tur, wobei bei einem White­box-Test zusätz­lich die vom Auf­trag­ge­ber bereit gestell­ten Infor­ma­tio­nen berück­sich­tigt wer­den. Inter­net Secu­ri­ty Scan und Web Appli­ca­ti­on Secu­ri­ty Scan der auto­ri­sier­ten IP-Adres­sen und Websites.

Pha­se 3: Bewer­tung der Infor­ma­tio­nen / Risikoanalyse
Ana­ly­se und Bewer­tung der ermit­tel­ten Schwach­stel­len und Risi­ken. Iden­ti­fi­ka­ti­on der Sys­te­me und Anwen­dun­gen, bei denen poten­zi­el­le Angriffs­punk­te fest­ge­stellt wur­den (als Vor­ga­be für Pha­se 4).
Die Ergeb­nis­se der Pha­se 3 wer­den in Form eines tech­ni­schen Berichts doku­men­tiert und an den Auf­trag­ge­ber über­mit­telt (nicht bei Blackbox).

Pha­se 4: Akti­ve Eindringversuche
Auf Basis des tech­ni­schen Berichts von Pha­se 3 wird gezielt ver­sucht, die poten­zi­el­len Schwach­stel­len aus­zu­nüt­zen (Pene­tra­ti­on Test), um unau­to­ri­sier­ten Zugriff auf Daten bzw. Sys­te­me zu erhalten.

Pha­se 5: Abschlussanalyse
Im Rah­men der Abschluss­ana­ly­se wer­den die Ergeb­nis­se der Prü­fungs­durch­füh­rung hin­sicht­lich mög­li­cher Risi­ken (gering, mit­tel, hoch) bewer­tet und kon­kre­te Emp­feh­lun­gen aus­ge­ar­bei­tet, um die­se zu vermindern.

Die Ergeb­nis­se des Pen­Test oder Inter­net Secu­ri­ty Scans wer­den in Form eines Prüf­be­richts, der aus einem Manage­ment Sum­ma­ry und aus einer detail­lier­ten tech­ni­schen Beschrei­bung besteht, dokumentiert.

Genie­ßen Sie die Gewiss­heit, dass Sie für die eige­ne IT-Sicher­heit aktiv wich­ti­ge Schrit­te gesetzt haben!