Penetrationstests sind simulierte Cyberangriffe, mit denen die Sicherheit von Systemen und Netzwerken bewertet wird. In diesem Leitfaden werden die Grundsätze von Penetrationstests, ihre Vorteile und die von Sicherheitsexperten verwendeten Methoden erläutert.
Erfahren Sie mehr über die Bedeutung regelmäßiger Penetrationstests für die Identifizierung von Schwachstellen und die Verbesserung von Sicherheitsmaßnahmen. Das Verständnis von Penetrationstests ist für Unternehmen unerlässlich, um ihre digitalen Ressourcen effektiv zu schützen.
Wer führt Penetrationstests durch?
Unternehmen beauftragen qualifizierte Penetrationstester mit umfassenden Kenntnissen in den Bereichen IT, Anwendungssicherheit, Netzwerksicherheit und Software-Programmiersprachen. Penetrationstester verwenden Skriptsprachen, um Skripte zu erstellen, mit denen sie innerhalb bestimmter Grenzen genehmigte Angriffe auf Systeme ausführen, die so konzipiert sind, dass sie die Systeme während des Tests nicht beschädigen. Sie nutzen ihre Kenntnisse über Software-Code, um Software auf Sicherheitslücken zu untersuchen. Ein professioneller Penetrationstester führt den Penetrationstest auf Anfrage eines Unternehmens durch. Der Penetrationstester darf die Systeme während der Durchführung des Tests nicht beschädigen. Er muss Nachweise für die Schwachstellen und die Art und Weise, wie er sie ausgenutzt hat, vorlegen.
Anhand der Ergebnisse des Penetrationstests kann das Unternehmen die Systeme patchen und Schwachstellen beheben. Anschließend überprüft der Penetrationstester, ob das Unternehmen die Schwachstellen behoben hat, indem er erneut versucht, in das System einzudringen.
Externe vs. interne Penetration
Es gibt verschiedene Arten von Penetrationstests. Bei externen Penetrationstests hat der Penetrationstester zunächst keinen besonderen Zugriff oder keine besonderen Berechtigungen für die zu testenden Systeme. Ausgehend vom gleichen Standpunkt wie ein krimineller Hacker versucht der Tester, in den Perimeter, die mit dem Internet verbundenen Anwendungen und die anfälligen Systeme innerhalb des Unternehmens einzudringen, auf die er von außen zugreifen kann.
Der Test kann beispielsweise Angriffe auf anfällige RDP-Verbindungen (Remote Desktop Protocol) umfassen, die für Auftragnehmer gedacht sind, die für ihre Arbeit einen externen Netzwerkzugang benötigen. Der Penetrationstester kann Endgeräte wie Smartphones und Benutzercomputer in einem Netzwerk testen, da diese wahrscheinlich Einstiegspunkte für unbefugten Zugriff sind.
Ein interner Penetrationstest ist ein Schwachstellentest der internen Netzwerke und Infrastruktur der Organisation. Der Test ermittelt, wie weit ein Angreifer seinen Zugriff ausdehnen kann, sobald er sich im Netzwerk befindet. Der Test ermittelt, ob lange Verweildauern möglich sind, in denen der Angreifer seine Präsenz im Netzwerk aufrechterhalten kann, ohne dass das Unternehmen weiß, dass er sich über einen längeren Zeitraum dort aufhält.
Der Test ermittelt, ob sie sich lateral über die internen Netzwerke und die Infrastruktur von einer Gruppe von Netzwerkressourcen, wie z. B. Kundendatenbanken, zu anderen bewegen können, die geistiges Eigentum enthalten. Er würde die Fähigkeiten einer Insider-Bedrohung aufdecken, die bestehende Schwachstellen, darunter zu viele Zugriffsrechte und Berechtigungen, ausnutzt.
Penetrationstests vs. Schwachstellenanalyse
Im Gegensatz zu Penetrationstests werden Schwachstellentests häufig mithilfe von Software zum Scannen von Netzwerkschwachstellen automatisiert durchgeführt. Schwachstellentests machen Unternehmen auf bestehende Schwachstellen aufmerksam. Penetrationstests bestätigen, dass Angreifer die Schwachstellen böswillig ausnutzen können, um sich zusätzlichen Zugriff zu verschaffen und Daten zu exfiltrieren.
Weiß, Schwarz und Grau | Wie Penetrationstests durchgeführt werden
Viele Arten von Penetrationstests können einem Unternehmen helfen, eine gute Sicherheitshygiene und eine starke Sicherheitslage aufrechtzuerhalten. Der Kunde kann einen oder mehrere dieser Penetrationstests anfordern.
White-Box-Test
Beim White-Box-Test hat der Penetrationstester vollständige Transparenz über das zu testende Netzwerk und die zu testenden Systeme. Der White-Box-Test ermöglicht es dem Tester, den gesamten Softwarecode in den Test einzubeziehen, da ihm nichts verborgen bleibt. White-Box-Tests sind für automatisierte Tests wünschenswert, die häufig in Entwicklungsumgebungen eingesetzt werden. White-Box-Tests ermöglichen häufige, automatisierte Tests der in der Entwicklung befindlichen Software, um deren Sicherheit während des gesamten Entwicklungszyklus zu gewährleisten.
Black-Box-Tests
Bei Black-Box-Tests bleibt der Penetrationstester im Dunkeln. Der Tester weiß nichts über das System oder die Software. Er muss aus der Sicht eines Angreifers testen, also ohne Vorkenntnisse Erkundungen durchführen, Informationen sammeln und sich einen ersten Zugang zum Netzwerk verschaffen. Der Tester muss einen Angriff starten und das System mit den ihm zur Verfügung stehenden Tools ausnutzen. Black-Box-Tests sind die anspruchsvollsten, aber auch die umfassendsten Tests.
Grey-Box-Tests
Graubox-Tests geben dem Penetrationstester einen begrenzten Einblick in die Systeme und Software. Das Testdesign dient dazu, festzustellen, wie viel zusätzlichen Zugriff ein privilegierter Benutzer erhalten könnte und was er damit anstellen könnte. Graubox-Tests können dabei helfen, festzustellen, ob ein Insider seine Berechtigungen erweitern könnte, um einen internen Angriff zu starten oder mit einem externen Angreifer zusammenzuarbeiten.
Phasen des Penetrationstests
Ein Penetrationstest umfasst fünf Phasen, insbesondere wenn der Tester keine Vorkenntnisse über die zu testenden Systeme hat. Diese Phasen sind Aufklärung, Scannen, Ausnutzen, Einrichten einer Hintertür und Anti-Tracking.
Die erste Phase ist die Aufklärung – das Sammeln von Informationen über das zu testende System. Wie im militärischen Bereich bedeutet der Begriff "Aufklärung" bei Penetrationstests, dass der Tester sich in das Netzwerk begeben und offene Ports, Netzwerkadressen und Anmeldeseiten aufspüren muss, die für einen Angriff nützlich sind. Durch die Kartierung des Netzwerks und seiner Ressourcen kann der Tester entscheiden, welche Exploits er im Test verwenden möchte.
Anschließend scannt der Tester das Netzwerk auf Schwachstellen. Ein guter Penetrationstester kann Zero-Day-Schwachstellen erkennen. Zero-Day bedeutet, dass der Anbieter seit der Entdeckung der Schwachstelle null Tage Zeit hatte, um das System zu patchen. Kriminelle Hacker können die Schwachstelle so lange ausnutzen, bis der Patch verfügbar ist.
Der Tester wählt Exploits aus, darunter Malware, um das System auszunutzen. Er hinterlässt eine Hintertür im Netzwerk, um es für zukünftige Angriffe offen zu halten. Schließlich verhindert der Penetrationstester die Entdeckung, indem er Sicherheitsprotokolle entfernt und Hinweise auf Kompromittierungen löscht.
Was können Unternehmen mit den Ergebnissen eines Penetrationstests anfangen?
Ein Unternehmen kann aus dem Abschlussbericht des Testers Schwachstellen ableiten und einen Plan zur Behebung dieser Schwachstellen erstellen. Der Penetrationstester testet die Schwachstellen anschließend erneut, um sicherzustellen, dass alle Schwachstellen geschlossen sind. Penetrationstests kommen Unternehmen zugute, indem sie Risiken mindern. Unternehmen können die wichtigsten Schwachstellen, wie z. B. defekte Zugriffskontrollen, testen und beheben. Durch Penetrationstests gewinnt das Unternehmen ein Bewusstsein für seine Sicherheitslage. Es kann die Angriffsfläche sichern und sie an die gewünschte Sicherheitslage des Unternehmens anpassen. Unternehmen können Penetrationstests auch nutzen, um die Einhaltung von Branchen- und behördlichen Vorschriften sicherzustellen. Durch das Testen auf Schwachstellen kann das Unternehmen Patches installieren und Kontrollen einsetzen, um die Compliance zu erreichen und aufrechtzuerhalten.
Das Unternehmen profitiert von Penetrationstest-Berichten, indem es zunächst hochriskante Schwachstellen erkennt und behebt. Die Berichte können als Nachweis für die Einhaltung von Audits dienen. Sicherheitsanalysten können den Bericht nutzen, um ihre Bemühungen auf Schwachstellen zu konzentrieren, die zu Verstößen gegen Compliance-Audits führen.
Das Unternehmen sollte den Umfang des Penetrationstests definieren, einschließlich der zu testenden Bereiche, der zu vermeidenden Bereiche und der zu identifizierenden Schwachstellen. Durch die gezielte Untersuchung von risikoreichen Systemen, Software und Konfigurationen kann das Unternehmen vorrangige Schwachstellen finden und beheben, ohne das Budget zu überschreiten.
MDR You Can Trust
Get reliable end-to-end coverage and greater peace of mind with Singularity MDR from SentinelOne.
Get in TouchArten von Penetrationstests
Penetrationstests für Netzwerkdienste
Penetrationstests für Netzwerkdienste identifizieren die kritischsten Schwachstellen und Schwächen eines Netzwerks. Die Tests umfassen interne und externe Tests. Dabei werden Netzwerkkomponenten getestet. Außerdem werden Endpunkte und die Peripherie des Netzwerks getestet.
Zu den Netzwerk-Infrastrukturgeräten gehören:
- Firewalls
- Switches
- Router
Der Test ermöglicht es Unternehmen, Schwachstellen zu beheben und sich gegen häufige netzwerkbasierte Angriffe wie Distributed-Denial-of-Service-Angriffe (DDoS) zu verteidigen.
Penetrationstests für Webanwendungen
Penetrationstests für Webanwendungen finden Schwachstellen in webbasierten Anwendungen und Browsern. Angriffe auf Anwendungen über anfällige Browser sind weit verbreitet, beispielsweise Bots, die JavaScript auf E-Commerce-Seiten angreifen.
Das Testen von Webanwendungen bietet Unternehmen den Vorteil, dass Lücken in der Sicherheit von Webanwendungen schneller geschlossen werden können. Penetrationstests und Patches machen Webanwendungen widerstandsfähiger. Sichere Webanwendungen gewährleisten die Geschäftskontinuität, beispielsweise wenn die Produktivität der Benutzer unvermindert hoch bleibt, weil Sicherheitsverletzungen und Störungen minimiert werden. Penetrationstests von Webanwendungen identifizieren Schwachstellen in JavaScript im Browser, sodass Sicherheitsteams Anwendungen gegen Browserfehler absichern können.
Physische Penetrationstests
Physische Penetrationstests umfassen einen simulierten Angriff auf die Räumlichkeiten eines Unternehmens. Physische Penetrationstests messen die physische Sicherheit, die zugangsbeschränkte Bereiche schützt. Sie testen die physischen Sicherheitskontrollen, die einen Angreifer daran hindern, sich unbefugten Zugang zu verschaffen. Physische Penetrationstests nutzen Social Engineering, beispielsweise indem sie sich als Mitarbeiter des technischen Supports oder andere Mitarbeiter ausgeben, um sich ohne entsprechende Berechtigung oder Zugangsdaten Zugang zu verschaffen.
Social-Engineering-Penetrationstests
Social-Engineering-Penetrationstester nutzen das Vertrauen der Mitarbeiter in andere Menschen aus. Die Tester können Mitarbeiter mit einer Ausrede dazu bringen, sensible Daten preiszugeben oder ihnen Zugriff auf Systeme und Software zu gewähren.
Cloud-Penetrationstests
Obwohl Cloud-Anbieter ihre Angebote sichern, ist der Kunde für den Schutz seiner Daten und Anwendungen in der Cloud verantwortlich. Cloud-Penetrationstests umfassen Brute-Force-Tests von internetbasierten Anmeldedaten, an deren Aktualisierung ein Kunde möglicherweise nicht denkt. Es liegt jedoch in der Verantwortung des Kunden, dies zu tun.
IoT-Penetrationstests
Bei IoT-Penetrationstests wird das gesamte Inventar der IoT-Geräte eines Kunden auf typische Schwachstellen wie schwache oder standardmäßige Anmeldedaten, veraltete Kommunikationsprotokolle und fehlende Sicherheitspatches untersucht. Penetrationstester können drahtlose Sicherheitstests durchführen, um nach schwachen Protokollen zu suchen. Sie können bekannte Schwachstellen auf Patches überprüfen und versuchen, sich unbefugten Zugriff zu verschaffen.
Vorteile von Penetrationstests
Penetrationstests schützen das Unternehmen vor Cyberangriffen, Datenlecks und Verstößen gegen die zahlreichen Branchen- und Regulierungsanforderungen. Unternehmen unterliegen Audits und müssen zahlreiche nationale und internationale Vorschriften einhalten, darunter die DSGVO, ISO 27001 und PCI DSS. Weitere Vorschriften sind beispielsweise HIPAA/HITRUST.
Das Unternehmen möchte das Vertrauen der Verbraucher bewahren. Zuverlässige Technologien, die nicht von Sicherheitsverletzungen betroffen sind, tragen dazu bei, Kunden zu binden, während Sicherheitsverletzungen diese eher vertreiben. Penetrationstests unterstützen die Geschäftskontinuität, da es weniger Überraschungen durch Ausfallzeiten aufgrund von Sicherheitsverletzungen und Untersuchungen von Sicherheitsverletzungen gibt, die Personal von seinen Kernaufgaben abziehen.
Fazit
Ein Penetrationstest ist ein wesentlicher Bestandteil der Aufrechterhaltung von Sicherheit und Compliance. Penetrationstests bewerten die Angriffsfläche des Unternehmens auf hochriskante Schwachstellen in kritischen Anwendungen. Das Unternehmen kann Penetrationstestberichte nutzen, um vorrangige Schwachstellen zu beheben, Sicherheitsrisiken zu mindern und sich auf Compliance-Audits vorzubereiten.
"FAQs
Ein Schwachstellenscan überprüft automatisch das Netzwerk, die Netzwerkports und die IP-Adressen auf Schwachstellen. Penetrationstests verwenden manuelle Scans und andere Methoden, um Schwachstellen aufzudecken und auszunutzen.
Penetrationstester dringen mit einer Reihe genehmigter Exploits in vom Kunden definierte Bereiche ein und suchen nach bestimmten Schwachstellen. Penetrationstester testen die Sicherheitsrichtlinien des Unternehmens, entwickeln Gegenmaßnahmen und implementieren defensive Lösungen für Sicherheitsprobleme.
Penetrationstests sind manuelle, angeleitete Maßnahmen, die von einem proaktiven Fachmann durchgeführt werden, der interessante Bereiche für die weitere Untersuchung auf Schwachstellen und deren Ausnutzung erkennt. Ein automatisierter Test weicht nicht von einer festgelegten Liste von Testaufgaben ab.
