Penetration Testing

Mit dem Seziermesser zum Erfolg

Penetration Tests sind das Seziermesser der IT-Sicherheit. Stück für Stück wird Ihre IT analysiert, ausgewertet und anhand der Ergebnisse versucht anzugreifen. Dabei liegt das Augenmerk auf der Suche von Schwachstellen, der Prüfung vorhandener Sicherheits-Maßnahmen und die Optimierung derer im Nachgang. HackerWerkstatt geht dabei nach Ihren Vorgaben vor, erstellt die Pläne zu Angriffen individuell und auf Sie zugeschnitten. Am Ende eines Penetration Tests erhalten Sie eine ausführliche Analyse und Vorschläge zur weiteren Sicherung Ihrer Systeme.

Was darf es sein?

Als Auftraggeber sind Sie in die Ausführung unserer Pentests von vornherein involviert. Dabei richten wir uns nach der Klassifikation der Penetration-Tests nach Definition des Bundesamt für Sicherheit in der Informationstechnik. Folgende Kriterien sind die Basis eines jeden Tests.

1. Informationsbasis

Von welchem Wissenstand gehen wir als Pentester gegenüber dem Objekt / bzw. anzugreifenden Netz aus? Das BSI unterscheidet hier in 2 wesentliche Bereiche: den Black-Box- und den White-Box-Test. Während der White-Box-Angriff den Angriff eines “Insiders”, beispielsweise eines ehemaligen Mitarbeiters oder Dienstleisters simuliert, ist der Black-Box-Test der Angriff eines komplett Außenstehenden. Aber: auch wenn Sie als Unternehmen gerne den Blick von außen bemühen werden, oftmals sind Unternehmen Opfer von Angriffen aus den eigenen Unternehmensreihen!

2. Aggressivität

Die Aggressivität definiert das Vorgehen von HackerWerkstatt. Dabei wird laut BSI in 4 Stufen unterschieden.

passiv – In dieser Stufe wird passiv durch Hackerwerkstatt nach Lücken gesucht und diese nicht weiter genutzt.
vorsichtig – HackerWerkstatt nutzt gefundene Lücken nur, wenn nach bestem Gewissen ausgeschlossen werden kann, dass das angegriffene System keine Beeinträchtigungen zu befürchten hat. (Z.B. Nutzen von Standardpasswörtern)
abwägend – Hier wird vorher durch HackerWerkstatt abgewägt, inwiefern ein Angriff das System beschädigen kann. Nur wenn der Erfolg im Verhältnis zu den Konsequenzen steht, wird der Angriff ausgeführt.
aggressiv – Bei dieser Stufe geht HackerWerkstatt mit allen zur Verfügung stehenden Mitteln vor. Dem Auftragnehmer muss dabei bewusst sein, dass selbst benachbarte Netze oder Systeme dadurch ausfallen können.

3. Umfang

Beim Umfang wird von Ihnen definiert, welche Ziele angegriffen werden. Sollen nur bestimmte Dienste, Systeme oder Teilnetze geprüft werden? Wünschen Sie einen Test eingegrenzter Systeme oder aller erreichbaren Systeme?

4. Vorgehensweise

Sollen wir behutsam bei dem Test vorgehen und in Ihrem Unternehmen kein Aufsehen erwecken oder sind Ihnen bei der Ausführung auch offensichtliche Methoden erwünscht? Sollen Ihre Mitarbeiter eingebunden sein?

5. Technik

Welche Techniken sind erlaubt? Setzen Sie auf den eigentlichen Test nur über das Netzwerk oder geben Sie HackerWerkstatt die Befugnis auch per physischen Angriff und Social-Engeneering-Attacken in Ihre System zu gelangen?

6. Ausgangspunkt

Der Ausgangspunkt definiert den Zugang zum System. Simulieren Sie einen Großteil der Angriffe “normaler Hacker”, geschieht dies von außen, soll ein Angriff aus Ihrem Unternehmen selbst heraus geführt werden, so ist ein Angriff von innen die richtige Wahl.

Standardisiertes Vorgehen

Das BSI gibt für Pentests die folgenden 5 Prozessstufen, welche die Definition aus den Klassifikationen berücksichtigen, vor:

  • 1. Vorbereitung
  • 2. Beschaffung von Informationen
  • 3. Bewertungen von Informationen
  • 4. Eindringversuche
  • 5. Abschlussanalyse