IT-Penetrationstest – Auf Herz und Nieren geprüft

Ein Penetrationstest lässt sich immer in mehrere Phasen einteilen. Freilich wird solch ein Sicherheitstest je nach Anforderungen individuell abgeändert und angepasst. Grob haben sich folgende Phasen herauskristallisiert, wie sie auch bei einem realen Hackerangriff durchlaufen werden.
Reconnaissance (auch Recon, Informationsgewinnung, Informationsbeschaffung)
An erster Stelle steht beim Penetrationstest die Informationsbeschaffung der frei zugänglichen Informationen im Internet. Dies wird auch Enumeration, Reconnaissance oder Recon genannt.
Hier werden Daten zusammengetragen, die bei dem eigentlichen Einbruchsversuch nützlich sein könnten. Auch kommt es immer wieder vor, dass Mitarbeiter oder Administratoren des Unternehmens Details der Konfiguration im Internet veröffentlichen.
So werden z.B. Einträge in whois, DNS-Datenbanken durchsucht und Websuche über Suchmaschinen und anderen Quellen gestartet.

Mit diesen Informationen erfolgt die Erkundung des Unternehmens-Netzwerks (auch). Hier wird getestet, welche Systeme vorhanden sind. Sind die Systeme gefunden, tritt die Scanphase ein. Ein Scanner testet, welche Dienste auf den Servern verfügbar sind, welche Version der Software die Anfragen an den Dienst beantwortet, welches Betriebssystem der Server hat, wie Firewallregeln gesetzt sind, welche Zugangswege offen sind uvm.
Hand in Hand mit der Scanphase wird eine erste Begutachtung durchgeführt. Die Ergebnisse werden bewertet, verifiziert und erste Schlüsse gezogen. Damit wird schnell ersichtlich, welche Angriffsmöglichkeiten offen stehen.
Ein nächster Schritt in der Scanphase wird durch Schwachstellenscanner eingeläutet. Dabei werden die verfügbaren Dienste nach Sicherheitslücken abgeklopft. Das Ergebnis liefert ein recht detailliertes Bild des Unternehmensnetzes. Für jeden Dienst werden die Lücken offen gelegt. Damit verfeinern und konkretisieren sich die Angriffsmöglichkeiten, so dass die nächste Phase sehr effizient gestartet werden kann.

Nun kommt die Exploitphase. Es werden gezielt abgestimmte Programme (sog. Exploits) auf die gefundenen Schwachstellen angesetzt. Mit diesen Exploits ist es möglich, die Schwachstelle auszunutzen. Das Ergebnis könnte z. B. sein: Direkter Zugriff auf das Betriebssystem ist möglich, Benutzerrechte können manipuliert oder beliebige Programme gestartet werden. Damit treten Worst-Case-Szenarios ein und das System könnte übernommen werden.
Der Zweck besteht darin, einen direkten Zugriff auf das System zu erhalten bzw. weitere Angriffe auf andere Systeme über den verseuchten Dienst vorzubereiten. Es werden gezielte Attacken gegen die Rechnersysteme ausgeführt.

Die Auswertungs- und Berichtphase rundet die Testserie ab.
Siehe auch „Was ist das Ergebnis eines Penetrationstests?“

Es ist generell zwischen netzwerkbasierten Systemen und Webanwendungen zu unterscheiden.
Der netzwerkbasierte Penetrationstest hängt von der Größe des Computernetzwerks und deren Komplexität ab. Ein Faktor ist also die Anzahl der zu testenden Server. Gerne geben wir für Ihre Netzwerkinfrastruktur ein präzises Angebot ab. Bitte kontaktieren Sie uns.
Penetrationstests von Webanwendungen sind vom Aufwand her gesondert zu betrachten. Das Ziel von Penetrationstests von Webanwendungen besteht darin, die gesamte Anwendung auf Fehler, Schwachstellen und Sicherheitslücken zu testen. Dazu gehören u.a. Tests der Authentifizierung und Autorisierung (horizontale und vertikale Privilegien-Eskalation), Tests auf Sicherheit des Session-Managements, Angriffe auf Benutzereingaben, Tests auf Injections, Logikfehler, Web-Application-Management und clientseitige Sicherheit (Cross-Site-Scripting in allen Variationen).
Fast jede Webanwendung ist eine Sammlung individueller Programme und höchst inhomogen. Auch Standard-Applikationen werden durch die Verwendung von Plugins und Add-ons extrem individualisiert und erweitert. Um Ihnen eine exakte Abschätzung für Ihre Webanwendung geben zu können, ist es notwendig, dass wir uns einmal durch die Webanwendung durchklicken und die Funktionen kennen lernen. Je aufwendiger und komplexer die Webanwendung ist, desto länger dauert der Test, da z.B. auch jede Benutzereingabe mit mehreren Tests durchlaufen werden muss.
Haben Sie Fragen zu Penetrationstests von Webanwendungen, kontaktieren Sie uns.

Sie erhalten von uns drei unterschiedliche Berichte als Ergebnis eines netzwerkbasierten Penetrationstests. Erstens erstellen wir einen Management-Report, der die Ergebnisse sehr kurz und kompakt auflistet. Er ist auch für IT-Anwender leicht verständlich.
Der zweite Bericht liefert einen Überblick über die gefundenen kritischen, schwerwiegenden und mittleren Sicherheitslücken und unsere Einschätzung dazu. Dies ermöglicht Ihnen, eine schnelle und effiziente Abhilfe für die Lücken zu schaffen.
Der dritte Bericht ist sehr technisch orientiert. Er weist bei den Sicherheitslücken auf die Ursache hin, listet weiterführende Dokumentation auf und gibt sehr gute Hinweise, was unternommen werden kann, um diese Sicherheitslücken zu schließen.
Optional erstellen wir eine weitere kurze Zusammenfassung, die bei großen Netzwerksystemen zum Tragen kommt. Hier werden die Sicherheitslücken des gesamten Computernetzwerks gelistet, jedoch nach den Sicherheitslücken sortiert. Damit ist es leichter möglich, zu einer Lücke alle betroffenen Systeme zu identifizieren.
Ein weiteres Highlight: Unser Kunde erhält ein Zertifikat für einen durchgeführten Penetrationstest. Dieses bestätigt, dass er einen sorgsamen und sicheren Umgang mit den Daten und den Daten seiner Kunden walten lässt. Auch wird dadurch belegt, dass die Geschäftsführung gewissenhaft, sorgfältig und nach dem Stand der Technik die IT-Sicherheit handhabt.

Ja, wir sind unabhängig.
Wir bieten unseren Kunden eine Antwort auf die Frage, wie sicher sie sind, wo die Sicherheitslücken und Hintertüren liegen und was getan werden muss, um diese zu schließen. Wir bieten keine Hard- oder Software als „Lösung“ für das Problem an, das wir aufzeigen. Die Problemlösung kann durch die IT-Abteilung des Unternehmens umgesetzt werden. Sollte das bei einem Kunden nicht der Fall sein, empfehlen wir Ihnen gerne Partner, mit denen wir gute Erfahrungen gemacht haben.