Was sind Penetrationstests?

Penetrationstests, Pen-Tests oder ethisches Hacking sind die Praxis, die Cybersicherheit eines Computersystems, Netzwerks oder einer Webanwendung zu testen, indem nach ausnutzbaren Sicherheitslücken gesucht wird. Penetrationstests können mit Penetrationstest-Tools oder manuell von Penetrationstestern automatisiert werden.

Im Wesentlichen geht es bei Penetrationstests um folgende Antworten:

Wie würde ein Angriff mein Sicherheitsprogramm überwinden?
Wie würden sie Zugriff auf meine sensiblen Daten und die meiner Kunden erhalten?

Es betrachtet Ihre Netzwerk-, Anwendungs-, Geräte- und physische Sicherheit mit den Augen eines böswilligen Akteurs und eines erfahrenen Sicherheitsteams, um Schwachstellen aufzudecken und zu identifizieren, wie Ihre Sicherheitslage verbessert werden könnte. Dies ist ein wichtiger Aspekt der Cybersicherheit, den alle Unternehmen einsetzen sollten.

Penetrationstester starten autorisierte Cyberangriffe, die darauf abzielen, sich Zugang zu vertraulichen Informationen zu verschaffen, und simulieren, worauf ein realer Angriff abzielen würde, wie Ihre Sicherheitskontrollen abschneiden würden und wie groß eine potenzielle Datenschutzverletzung wäre.

Was beinhaltet ein Penetrationstest?

In der Regel wird ein Zielsystem identifiziert und ein bestimmtes Ziel definiert, z. B. um Zugriff auf PII und PHI zu erhalten, die zu einer meldepflichtigen Datenschutzverletzung führen würden.

Die Pen-Tester überprüfen dann die verfügbaren Informationen und verwenden verschiedene Methoden, um zu versuchen, ihr Ziel zu erreichen. Sie können beispielsweise SQL-Injections, Phishing und andere Social-Engineering-Angriffe, Cross-Site-Scripting einsetzen oder Schwachstellen ausnutzen.

Sobald der Penetrationstest abgeschlossen ist, geben die Sicherheitsexperten den Eigentümern des Ziels eine Sicherheitsbewertung. In der Bewertung werden im Allgemeinen die potenziellen Auswirkungen und Gegenmaßnahmen zur Verringerung des Cybersicherheitsrisikos dargelegt.

Erfahren Sie mehr über die Unterschiede zwischen Cybersicherheit und ethischem Hacking.

Was sind häufige Bereiche für Penetrationstests?

Zu den gängigen Bereichen für Penetrationstests gehören:

Anwendungs-Penetrationstests: Identifiziert Probleme wie Cross-Site-Request-Forgery, Cross-Site-Scripting, Injection-Fehler, schwaches Sitzungsmanagement und mehr
Netzwerk-Penetrationstests: Hebt Fehler auf Netzwerkebene hervor, einschließlich Fehlkonfigurationen, produktspezifische Schwachstellen, Schwachstellen in drahtlosen Netzwerken, betrügerische Dienste, schwache Passwörter, anfällige Protokolle und Standardpasswörter
Physische Penetrationstests: Zeigt, wie physische Kontrollen wie Schlösser, biometrische Scans, Sensoren und Kameras überwunden werden können
IoT-Penetrationstests: Deckt Hardware- und Software-Schwachstellen in IoT-Geräten (Internet of Things) auf, einschließlich Standardpasswörtern, unsicheren Protokollen, offenen APIs, Fehlkonfigurationen und mehr

Was ist das Ziel eines Penetrationstests?

Das Ziel eines Penetrationstests hängt von der Art der genehmigten Aktivität und Ihren Compliance-Anforderungen ab. Penetrationstests können Unternehmen dabei helfen:

Bestimmen Sie die Machbarkeit bestimmter Angriffsvektoren
Identifizieren Sie Schwachstellen mit hohem Risiko, die sich aus Schwachstellen mit geringerem Risiko ergeben, die auf eine bestimmte Weise ausgenutzt werden
Weisen Sie auf Schwachstellen hin, die in automatisierter Software zum Scannen von Netzwerk- oder Anwendungsschwachstellen unentdeckt bleiben
Bewerten Sie die potenziellen geschäftlichen, betrieblichen und regulatorischen Auswirkungen erfolgreicher Cyberangriffe
Testen Sie die Netzwerkabwehr und die Fähigkeit Ihres Unternehmens, einen Angriff erfolgreich zu erkennen, darauf zu reagieren und zu stoppen.
Bereitstellung von Kontext zur Unterstützung erhöhter Investitionen in Richtlinien, Verfahren, Personal oder Technologie für die Informationssicherheit
Erfüllen Sie Compliance-Anforderungen, z. B. müssen alle FISMA-regulierten Unternehmen NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, einhalten. Der Payment Card Industry Data Security Standard (PCI DSS) verlangt ebenfalls regelmäßige Penetrationstests.
Validierung der Implementierung neuer Sicherheitskontrollen, die zur Abwehr ähnlicher Angriffe eingeführt wurden

Letztendlich besteht das Standardziel darin, Sicherheitsprobleme zu finden, die von einem Angreifer ausgenutzt werden könnten, und diese Informationen dann zusammen mit relevanten Strategien zur Risikominderung mit dem Ziel zu teilen.

Penetrationstests können zwar dazu beitragen, Schwachstellen in den Bereichen Netzwerksicherheit, Informationssicherheit, Anwendungssicherheit und Datensicherheit zu identifizieren, sind aber nur ein Teil eines vollständigen Sicherheitsaudits.

Was sind die sechs Phasen von Penetrationstests?

Penetrationstests können in sechs Phasen unterteilt werden:

Aufklärung: Sammeln von Informationen über das Ziel, um das Ziel besser angreifen zu können. Zum Beispiel die Verwendung von Google-Hacking, um Daten zu finden, die für einen Social-Engineering-Angriff verwendet werden können.
Scannen: Verwendung von technischen Werkzeugen, um weitere Kenntnisse über die nach außen gerichteten Assets des Ziels zu erlangen, z. B. mit Nmap, um nach offenen Ports zu suchen.
Zugang erhalten: Anhand der in der Aufklärungs- und Scanphase gesammelten Daten kann der Pentester eine Nutzlast liefern, um das Ziel auszunutzen. Metasploit kann beispielsweise verwendet werden, um Angriffe auf bekannte Schwachstellen zu automatisieren, wie sie in CVE aufgeführt sind.
Aufrechterhaltung des Zugriffs: Nachdem der Pentester Zugriff erhalten hat, kann er Schritte unternehmen, um dauerhaften Zugriff auf das Ziel zu erhalten, um so viele Daten wie möglich zu extrahieren.
Verwischen von Spuren: Der letzte Schritt besteht darin, alle Spuren ihres Zugriffs zu löschen, indem Audit-Trails, Protokollereignisse usw. gelöscht werden.
Berichterstattung: Beschreibt die Ergebnisse und bietet eine Schwachstellenbewertung mit empfohlenen Abhilfemaßnahmen.

Beachten Sie, dass dieser Vorgang wiederholt werden kann, wenn der Penetrationstester neue Sicherheitsprobleme findet.

Wer bietet Penetrationstests an?

Penetrationstests werden in der Regel von einem externen Berater oder einem internen Red Team mit wenig bis gar keinem Vorwissen darüber erbracht, wie das Ziel gesichert ist.

Auf diese Weise können sie mögliche blinde Beiträge aufdecken, die vom internen Sicherheitsteam übersehen werden.

Welche Arten von Penetrationstests gibt es?

White-Box-Pentest: Ethische Hacker erhalten Hintergrund- und Systeminformationen wie Mitarbeiter-E-Mails, Betriebssysteme, Sicherheitsrichtlinien oder Quellcode. Man könnte sagen, dass diese Art von Sicherheitstests Insider-Bedrohungen nachahmt.
Black-Box-Penetrationstest: Sicherheitsexperten erhalten grundlegende oder keine Informationen, die über den Namen des Ziels hinausgehen. Das bedeutet, dass die Pen-Tester nur Zugriff auf Informationen haben, die sie durch Schwachstellenscans, OPSEC-Fehler, Social Engineering und externe Sicherheitsanalysen sammeln können. Dies ahmt externe Angreifer nach, die versuchen, Zugriff auf Ihre Organisation zu erhalten.
Grey-Box-Pentest: Eine Kombination aus einem White-Box- und einem Black-Box-Test, bei dem begrenztes Wissen über das Ziel mit dem Pentester geteilt wird. Diese Art von Sicherheitstests kann dabei helfen, festzustellen, welche Systeme anfällig für Angreifer sind, die sich ersten Zugriff auf Ihr internes Netzwerk verschaffen können.
Verdeckter/doppelblinder Penetrationstest: Beschreibt eine Situation, in der nur sehr wenige Personen wissen, dass ein Penetrationstest stattfindet, einschließlich der IT- und Sicherheitsteams, die auf den Angriff reagieren werden.
Externer Pentest: Dies ist der Fall, wenn ein ethischer Hacker die nach außen gerichtete Technologie eines Unternehmens ins Visier nimmt, wie z. B. die Website und externe Netzwerkserver. Diese Art von Pentests wird in der Regel von einem entfernten Ort aus durchgeführt.
Interner Penetrationstest: Dieser Test wird innerhalb des internen Netzwerks des Unternehmens durchgeführt und ist nützlich, um festzustellen, wie viel Schaden ein Insider innerhalb der Firewall des Unternehmens anrichten könnte.
Gezielter Pentest: Der Penetrationstester und das Sicherheitsteam arbeiten zusammen und informieren sich gegenseitig über die Schritte, die unternommen wurden, um das Ziel anzugreifen und den Angriff abzuwehren. Dies dient als Trainingsübung, die Echtzeit-Feedback liefert.

Warum sind Penetrationstests wichtig?

Penetrationstests sind wichtig, da sie dabei helfen, festzustellen, wie gut Ihr Unternehmen seine Sicherheitsziele erreicht.

Der Zweck dieser simulierten Angriffe besteht darin, Schwachstellen in Ihren Sicherheitskontrollen zu identifizieren, die Angreifer ausnutzen könnten.

Penetrationstests und Cybersicherheit im Allgemeinen werden immer wichtiger, da wir bei der Verarbeitung sensibler Informationen immer mehr auf Technologie angewiesen sind.

Als Teil eines Cybersicherheitsprogramms helfen Ihnen Penetrationstests, die Qualität Ihrer Sicherheitskontrollen zu verbessern. Es kann auch dazu beitragen, die Kosten und die Häufigkeit von Ausfallzeiten zu reduzieren, die mittlere Reparaturzeit (MTTR) zu verbessern, den Ruf der Marke zu schützen, das Vertrauen der Kunden zu erhalten, Rechtsstreitigkeiten zu vermeiden und die Einhaltung gesetzlicher Vorschriften sicherzustellen.

Warum Penetrationstests nicht ausreichen

Sicherheitsexperten sind sich nicht einig über die Bedeutung von Penetrationstests. Einige glauben, dass es das Wichtigste ist, andere glauben, dass es Zeitverschwendung ist.

Wie bei den meisten Sicherheitspraktiken liegt die Wahrheit irgendwo dazwischen und ihre Wirksamkeit hängt von der Anwendung und dem Umfang ab.

Penetrationstests allein reichen nie aus, um Datenschutzverletzungen zu verhindern, aber die daraus gewonnenen Informationen können eine entscheidende Rolle bei der Stärkung der Sicherheitskontrollen Ihres Unternehmens spielen.

Es gibt zwar zahlreiche Frameworks, die einen Pen-Testing-Prozess beschreiben, aber es bleibt ein weit gefasster Begriff, der eine Reihe verschiedener Aktivitäten umfasst, die darauf abzielen, Schwachstellen in Ihrer Cybersicherheit zu identifizieren.

Dies kann den Einsatz spezialisierter Sicherheitstools wie Kali Linux oder Backbox und Metasploit oder Nmap zur Entdeckung und Ausnutzung von Schwachstellen, die Durchführung von Social-Engineering-Angriffen zum Testen physischer Kontrollen oder den Einsatz ethischer Hacker zur Simulation von Cyberangriffen beinhalten.

Letztendlich ist das Ziel dasselbe: Ihre Sicherheitslage zu verbessern und das Cybersicherheitsrisiko zu reduzieren.

Selbst die am gründlichsten getesteten Anwendungen und Infrastrukturen können Opfer von Datenschutzverletzungen oder Datenlecks werden. Das ist die entmutigende Wahrheit der Cybersicherheit - manchmal sind Angreifer Ihrem Sicherheitsteam einen Schritt voraus.

Darüber hinaus können selbst die besten Pentester nur mit dem Wissen und den Werkzeugen, die ihnen zur Verfügung stehen, arbeiten.

Im Falle von Zero-Day-Exploits wie EternalBlue, die zum WannaCry-Ransomware-Wurm führten, ist das Beste, was Sie tun können, schnell zu reagieren. Kombinieren Sie dies mit der Tatsache, dass Drittanbieter mit immer mehr sensiblen Informationen umgehen, und es ist nicht schwer zu verstehen, dass Pen-Tests zwar wichtig sind, aber nicht das Einzige sein können, was Sie tun.

Um einen dauerhaften Einfluss auf das Unternehmen zu haben, müssen Pen-Tests in eine kontinuierliche Echtzeit-Sicherheitsüberwachung von Erst-, Dritt- und Viertparteien integriert werden.

Diese Tools können bekannte Schwachstellen automatisch erkennen, hochriskante Schwachstellen minimieren, fortlaufende Risikobewertungen von Anbietern bereitstellen und Ihnen helfen, Ihr Risikomanagement für Lieferanten zu skalieren.

Was sind die gängigen Penetrationstest-Frameworks?

Es gibt verschiedene Frameworks und Methoden für die Durchführung von Penetrationstests, darunter:

Handbuch zur Open-Source-Methodik für Sicherheitstests (OSSTMM)
Standard für die Ausführung von Penetrationstests (PTES)
NIST SP 800-115
Rahmenwerk für die Bewertung der Sicherheit von Informationssystemen (ISSAF)
Leitfaden für OWASP-Tests

Unternehmen wie Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar und NASA nutzen UpGuard, um ihre Daten zu schützen, Datenschutzverletzungen zu verhindern, auf Schwachstellen zu überwachen und Malware zu vermeiden.

Wir sind Experten für Datenschutzverletzungen und Datenlecks, unsere Forschung wurde in der New York Times, dem Wall Street Journal, Bloomberg, der Washington Post, Forbes, Reuters und Techcrunch veröffentlicht.

UpGuard Vendor Risk kann den Zeitaufwand Ihres Unternehmens für die Verwaltung von Beziehungen zu Drittanbietern minimieren, indem es Lieferantenfragebögen automatisiert und Anbieterfragebogenvorlagen bereitstellt, die dem NIST Cybersecurity Framework und anderen Best Practices zugeordnet sind. Wir können Ihnen helfen, die Sicherheitslage Ihrer Anbieter im Laufe der Zeit kontinuierlich zu überwachen und sie mit ihrer Branche zu vergleichen.

Jeder Anbieter wird anhand von 50+ Kriterien bewertet, wie z. B. das Vorhandensein von SSL und DNSSEC sowie das Risiko von Domain-Hijacking, Man-in-the-Middle-Angriffen und E-Mail-Spoofing für Phishing.

Jeden Tag bewertet unsere Plattform Ihre Anbieter mit einem Cyber Security Rating von 950. Wir benachrichtigen Sie, wenn ihre Punktzahl sinkt.

UpGuard BreachSight kann dabei helfen, DMARC zu überwachen, Typosquatting zu bekämpfen, Datenschutzverletzungen und Datenlecks zu verhindern, behördliche Bußgelder zu vermeiden und das Vertrauen Ihrer Kunden durch Cybersicherheitsbewertungen und kontinuierliche Erkennung von Gefährdungen zu schützen.