Penetrationstests
Ständig wachsen Quantität und Qualität von Hackerangriffen auf Unternehmen und Behörden. Die zunehmende Professionalisierung und Raffinesse der Angreifer macht es immer schwieriger, sich vor Cyberbedrohungen zu schützen. Es ist daher unerlässlich, proaktiv zu handeln und sich mit robusten Sicherheitsmaßnahmen wie technischen Penetrationstests zu wappnen, um potenzielle Schwachstellen frühzeitig zu identifizieren und zu beheben.
Wie sicher ist Ihre Infrastruktur? Was passiert, wenn Hacker versuchen sollten, Ihre Systeme zu kompromittieren? Ein Penetrationstest oder auch Pentest kann eine wertvolle Maßnahme sein, ihre Verwundbarkeit zu analysieren und nachfolgend die Sicherheit ihrer Systeme signifikant zu erhöhen.
Was ist ein Pentest?
Ein Pentest ist ein Sicherheitstest, anhand dessen sich die Verwundbarkeit eines IT-Systems, einer Anwendung oder eines IT-Netzwerks feststellen lässt. Dabei wird kontrolliert versucht, in ein Computersystem bzw. IT-Netz einzudringen, wobei ähnliche Techniken verwendet werden, wie sie auch bei einem richtigen Hackingangriff zum Einsatz kommen. So können Schwachstellen (Sicherheitslücken) ermittelt werden, gegen die im Nachhinein Maßnahmen ergriffen werden können, um die Sicherheit der Systeme zu verbessern.
Wie läuft ein Pentest ab?
Ein Pentest läuft typischerweise in 6 Phasen ab.
1. Vorbereitung
In der Vorbereitung besprechen wir gemeinsam mit Ihnen, was geprüft werden soll und beginnen mit der Zielsetzung des Pentests. Dabei sprechen wir auch darüber, welche organisatorischen und technischen Voraussetzungen beachtet werden müssen. Anschließend kann der tatsächliche Pentest definiert werden, der durchgeführt werden soll, also die Art und Weise, nach der wir dabei vorgehen werden.
2. Informationsbeschaffung
Nach erfolgreicher Vorbereitung kann mit dem Pentest begonnen werden. Der erste Schritt dabei ist die Informationsbeschaffung, bei der das Ziel darin besteht, eine möglichst detaillierte Übersicht über die vorhandenen Systeme und möglichen Angriffspunkte zu erhalten.
3. Schwachstellenidentifizierung
Netzwerke werden auf ihre Sicherheitseigenschaften untersucht und Systeme / Anwendungen auf Schwachstellen geprüft. Es gibt manuelle Tests und Tools (Schwachstellenscanner), die automatisiert nach Schwachstellen suchen.
4. Analyse
Auf die Schwachstellenidentifizierung folgt die Analyse. Wir dokumentieren die bislang ermittelten Informationen. Auf dieser Basis analysieren wir die mit den gefundenen Sicherheitslücken verbundenen Risiken und kategorisieren diese.
5. Ausnutzen der gefundenen Schwachstellen
In dieser Phase, oftmals auch „Exploitation“ genannt, geht es nun darum, die gefundenen Schwachstellen aktiv auszunutzen und dementsprechend Eindringungsversuche durchzuführen. Da dies allerdings einen erheblichen Eingriff in produktive Systeme darstellen kann, ist diese Phase optional. Häufig beschränken sich Pentests auf das Identifizieren und Bewerten von Sicherheitslücken, was in den meisten Fällen ausreichend ist. Ein gangbarer Ansatz ist die Ausnutzung von Schwachstellen in einer speziellen Testumgebung.
6. Bericht
Nach der Durchführung des Pentests erstellen wir einen Abschlussbericht, in dem die gesammelten Informationen sowie die Analyse und Bewertung der Risiken für ihre Organisation dargestellt werden. Dabei geben wir auch Handlungsempfehlungen ab, die technische Ausführungen beinhalten. Zu guter Letzt führen wir (optional) ein Abschlussgespräch mit ihnen, in dem wir den Bericht vorstellen und abschließende Fragen klären können.
Welche Arten von Pentests bieten wir an?
Pentests lassen sich anhand verschiedener Kriterien in unterschiedliche Kategorien einordnen. Die Unterscheidungsmerkmale richten sich dabei z.B. nach der Informationsbasis, über die die Testenden verfügen. Dabei wird hauptsächlich zwischen Blackbox- und Whitebox-Penetrationstests unterschieden. Bei einem Blackbox-Penetrationstest stehen dem Pentester keine Informationen über die zu testenden Systeme zur Verfügung, bei einem Whitebox-Test hingegen, werden dem Durchführenden vorab umfangreiche Informationen geliefert. 1
Neben der Differenzierung der Informationsbasis können Pentests auch anhand der zu testenden Technik unterschieden werden, wie z.B. Netzwerkkomponenten oder Webanwendungen.
Wir bieten derzeit sowohl Blackbox- als auch Whitebox-Pentests von Netzwerken, Servern und Webanwendungen an.
Haben Sie noch Fragen oder Interesse an einem Angebot? Sprechen Sie uns gerne an.
Jetzt Kontakt aufnehmen
Sprechen Sie uns an und optimieren Sie gemeinsam mit uns Ihre Anwendungssicherheit