[vc_row full_width=“stretch_row“ css=“.vc_custom_1486976078563{margin-bottom: 54px !important;}“][vc_column][vc_empty_space height=“55px“][vc_custom_heading text=“Informationen zum Penetrationtest“ font_container=“tag:h3|text_align:center“ google_fonts=“font_family:Montserrat%3Aregular%2C700|font_style:700%20bold%20regular%3A700%3Anormal“][vc_row_inner][vc_column_inner width=“1/12″][/vc_column_inner][vc_column_inner width=“10/12″][vc_column_text]Auf dieser Seite erwartet Sie eine Projekt-Zusammenfassung zum Thema Penetrationstest. Die häufig gestellten Fragen finden Sie hier>

Der Penetration Test, eingedeutscht Penetrationstest, aber auch Pentest, wird verwendet um einen Sicherheitstest oder Härtetest durchzuführen. Der Penetrationstest Gegenstand, ist bei einem Penetrationstest ausschlaggebend um die Kosten für deinen Penetrationstest definieren zu können.

Dabei ist es möglich, jedes aus der Informationstechnik stammende Gerät und jede Software einer Sicherheitsüberprüfung zu unterziehen. Bei der Prüfung werden alle Systembestandteile eines Gesamtsystems berücksichtigt. Wir testen Systeme nach dem Motto: „Mit allen mitteln, wie Sie echte Angreifer verwenden“. Dabei agieren unsere Penetrationstester als Hacker in Ihrem Auftrag, um die Empfindlichkeit und Anfälligkeit Ihres System zu analysieren. Mögliche Angriffe werden somit für die Zukunft ausgeschlossen und Angriffsmuster echte Angreifer nachgebildet. Wtir bedienen uns dabei zahlreichen bekannten Angriffsmethoden und prüfen ebenfalls Manuell auf neue unbekannte Sicherheitslücken.

Ein entsprechender Professioneller Penetrationstest, orientiert sich dabei stets am Gefahrenpotenzial eines Systems. Ist ein System als kritisch eingestuft, wird in aller Regel ein voller Penetrationstest durchgeführt. Wird ein Penetrationstest nach Kosten erwägt, werden Pentest Bestandteile gebucht oder auf einige Pentest Bestandteile verzichtet. Das Penetrationstest Verfahren, sowie die Penetrationstest Tiefe, ist von Bedeutung, den aus diesen Mix, können später die Kosten für den Pentest definiert werden.

Dabei wird vor allem das Testen auf Durchdringung der Sicherheit, eine
Analyse der Sicherheit eines IT-Systems, die Prüfung auf Schwachstellen der gefährden Schutzziele wie Verfügbarkeit, Vertraulichkeit, Integrität und
Nachvollziehbarkeit unternommen. Ein Beispiel:
  • Ein Server hat dabei ein hohes Risiko, kommt ein Angreifer in eine entsprechende Datenbank, kann er Daten auslesen, Manipulieren und stehlen sowie Bestandteile des Systems mit Schadsoftware infizieren. Das gleiche gilt für Software und Software Sicherheitslücken.

Weniger kritische Systeme wie einzelne Arbeitsplatzrechner die nicht an ein kritisches System per Netzwerk verbunden sind, haben dagegen ein geringeres Schadenspotenzial. Hier ist es möglich, Pentest Bestandteile zu entfernen.

 

Definieren Sie Ihre Penetrationstest Ziele

Jeder Penetrationstest ist ein individuelles Projekt, und jeder Auftraggeber definiert die Penetrationstest Ziele für sich entsprechend individuell. Ein Beispiel:

  • Es solle eine Software geprüft werden (Können Angreifer in eine entsprechende Software einbrechen?)
  • Es soll ein Netzwerk geprüft werden: Können Angreifer in ein Netzwerk eindringen
  • Es soll in ein IOT Gerät eingedrungen werden: Können Angreifer eine IP Kamera übernehmen oder können Angreifer das Auto der Zugang Fernsteuern oder die Ampel Anlagen manipulieren?
  • Es soll geprüft werden ob Cyberspionage möglich ist: Kann ein Angreifer meine Systeme ausspionieren?

Wir definieren unsere Ziele anhand eines Projektplanes

Nachdem wir Ihre Ziele kennen, entwerfen unsere Experten einen Penetrationstest Projektplan. Mögliche Ziele werden dabei mit Ihnen abgesprochen. Einige Pentest Ziele sind von Ihren Anforderungen und Ihrem Projekt abhängig. Als Beispiel können daher nur allgemeine Ziele genannt werden wie:

  • die Identifikation von Schwachstellen in Systemen (Software, Netzwerke, Clients, KFZ, Webanwendungen u.ä.
  • das Aufdecken potentieller Fehler, die sich aus der (fehlerhaften) Bedienung ergeben
  • die Erhöhung der Sicherheit auf technischer und organisatorischer Ebene und
  • die Bestätigung der IT-Sicherheit durch eine unabhängige Partei wie Janotta Partner EBS

Penetrationstest Modelle und Möglichkeiten

Fälschlicherweise hat das BSI ein sogenanntes Klassifikationssystem entwickelt, welches sich allerdings in der Praxis als unsäglich erweisen hat. Nach dem Klassifikationsschema des Bundesamtes werden vor allem Computersysteme und Netzwerke von Unternehmen einer Sicherheitsprüfung unterzogen. An dieser stelle kann ein entsprechendes Klassifikationsschema angewandt werden.

Das Klassifikationsschema zum Thema IOT oder Produkttest, sowie Automotive oder Software Testing, ist dagegen nicht anwendbar.,

Klassifikationsschema nach BSI für Unternehmen

  • Informationsbasis
  • Aggressivität
  • Umfang
  • Vorgehensweise
  • Technik
  • Ausgangspunkt

Unser Klassifikationsschema für Software und Produkttest sowie IOT, Scada

  • Fussabdruck nehmen (Footprinting)
  • Systeme und Ports identifizieren (Scanning)
  • Dienste identifizieren (Fingerprinting)
  • Verwundbarkeitsanalyse (Vulnerability Research)
  • Verwundbarkeit(en) ausbeuten (Exploit)
  • Zugriff ausweiten (Privilege Escalation)
  • Zugriff sicherstellen (Backdooring)
  • System säubern (Cleaning)
  • Weitere Attacken (Target Network)
    • Authentication
    • Authorization
    • Sitzungsstatusverwaltung
    • Eingabevalidierung
    • Web-Datenspeicher
    • XML/SOAP Web Dienste
    • Web Applikation Management
    • Bekannte Sicherheitslücken und Schwachstellen
    • Unvalidierte Eingaben
    • Defekte oder Fehlkonfigurierte Zugriffskontrolle
    • Defekte Authentifizierung und Sitzungsverwaltung
    • Web Session Schwachstellen und Sicherheitslücken
    • Cross Site Scripting (XSS)
    • Buffer Overflows
    • Script Code Injection Flaws
    • SQL Injection Flaws
    • Format Strings
    • Stack- & Heap- Overflow
    • Fehlerhafte Handhabung & Management
    • Unsichere Speicherung
    • Denial of Service
    • Unsicheres Konfigurationsmanagement
    • Lesen Sie auch: Mögliche Angriffe>

Da sich Angriffsmethoden und Bedrohungsbilder ständig anpassen, erneuern und Ändern, sind die Faktoren der Ständigen Bildung unsererseits, zu beachten.  Im Extremfall kann ein System unmittelbar nach dem Beheben der durch den Test aufgedeckten Schwachstellen durch eine neue Sicherheitslücke wieder verwundbar werden, wenn Änderungen vorgenommen worden sind. Spätestens dann sollten die Ursachen geprüft werden.

Die Ethik der Penetrationstester

 

Die Ethik unserer Penetrationstester stellt eine große und unabdingbare Rolle unserer Mitarbeiter dar. Unsere Leitlinien für Ethiktische Penetrationstests sind:

  • Vertraulichkeit vor und nach Test muss gewahrt werden
  • keine öffentlichen Gespräche über Kunden
  • verschlüsselte Kommunikation mit Kundenverschlüsselte Speicherung von Kunden-Daten
  • nur im Penetrationstest Vertrag bewilligte Tests
  • Penetrationstest genau nach einem entsprechenden Vertrag abarbeiten
  • Denial-of-Service braucht spezielle Bewilligung
  • Social-Engineering nach Absprache
  • Kommunikation und Eskalation für Notfälle
  • für gehostete Systeme/ISP schriftliche Bewilligung
    kein Einsatz von Angst, Unsicherheit, Zweifel und Irreführung
  • Einsatz von Open Source Tools und Penetrationstest Wegzeugen

 

Darüber hinaus waren wir die Ehetischen Grundsätze Des Choas Computer Club:

Hackerethik

Die ethischen Grundsätze des Hackens – Motivation und Grenzen:

  • Der Zugang zu Computern und allem, was einem zeigen kann, wie diese Welt funktioniert, sollte unbegrenzt und vollständig sein.
  • Alle Informationen müssen frei sein.
  • Mißtraue Autoritäten – fördere Dezentralisierung.
  • Beurteile einen Hacker nach dem, was er tut, und nicht nach üblichen Kriterien wie Aussehen, Alter, Herkunft, Spezies, Geschlecht oder gesellschaftliche Stellung.
  • Man kann mit einem Computer Kunst und Schönheit schaffen.
  • Computer können dein Leben zum Besseren verändern.
  • Mülle nicht in den Daten anderer Leute.
  • Öffentliche Daten nützen, private Daten schützen.

Link zum CCC Hackerehtik>

 

Der Penetrationstest Gegenstand

Alles was Informationstechnik ist, kann einem Penetrationstest unterzogen werden. Dazu gehören selbstverständlich einfache zu testende Webanwendungen sowie Software, Wireless, Bluetooth, RFID, VoIP, X.25, SS7, Cisco, AIX, HPUX, Solaris, Apache, IIS, PHP, Server, Kommunikationsanlagen, Netzwere, FKZ Systeme, Smartphones, Mobile Geräte, Computer, Anlagen, Roboter und Maschinen.

Social-Engineering-Penetrationstest

Social-Engineering-Penetrationstest ist eine besondere Angriffsform. Wir sind in der Lage bei einem Social-Engineering-Penetrationstest auch Ihre Mitarbeiter zu prüfen.

Social Engineering bedeutet angewandte Sozialwissenschaft, und wird in unseren Social Engineering Tests dazu verwendet um Menschen, Mitarbeiter und Zulieferer durch „soziale Manipulation“ soweit zu bringen, das Sie uns Informationen überlassen. Das Ziel ist bei Mitarbeitern bestimmte Verhaltensweisen hervorzurufen, um zum Beispiel die Preisgabe von vertraulichen Informationen, oder zur Freigabe von Finanzmitteln zu bewegen.

Lesen Sie ein Beispiel aus der Praxis>

Penetrationstest Tools und Werkzeuge im Einsatz

Bei Penetrationstests nutzen wir ausschließlich eigene Werkzeuge und Tools die wir bereits auch auf Github kostenfrei und unter Open Source Lizenz zur Verfügung stellen. Darüber hinaus verwenden wir weitere Open Source Werkzeuge wie:

Weitere Informationen zum Thema Penetrationstest

 

[/vc_column_text][/vc_column_inner][vc_column_inner width=“1/12″][/vc_column_inner][/vc_row_inner][/vc_column][/vc_row][vc_row][vc_column][/vc_column][/vc_row]