Schwachstellenscan vs. Penetrationstest: Wie unterscheiden sich die beiden?

Softwaresicherheit ist von entscheidender Bedeutung. Ermöglicht man dieser Software den Zugriff auf das Internet, erhöht sich das Sicherheitsbedürfnis um unvorstellbare Größenordnungen.

Der erfolgreiche Schutz von Software und ihren Vermögenswerten erfordert einen vielschichtigen Ansatz, einschließlich (aber nicht beschränkt auf) Schwachstellenscans und Penetrationstests. Diese Begriffe werden in der IT-Branche oft verwechselt, und das aus gutem Grund.

Penetrationstests und Schwachstellenscans werden miteinander verwechselt.

Schwachstellenbewertungen und Scans durchsuchen Systeme und Profile nach dem, was Sie erwarten würden: Schwachstellen. Während Penetrationstests auf Bedrohungen testen, die aktiv versuchen, eine Umgebung zu schwächen. Ein entscheidender Unterschied zwischen den beiden besteht darin, dass das Scannen von Schwachstellen automatisiert werden kann, wobei für einen Penetrationstest unterschiedliche Fachkenntnisse erforderlich sind.

Alle Netzwerke, unabhängig von ihrer Größe, sind potenziell Bedrohungen ausgesetzt. Durch die gründliche Überwachung und Prüfung eines Netzwerks auf Sicherheitsprobleme können Sie Bedrohungen beseitigen und das Gesamtrisiko senken. Der Glaube, dass Ihr Netzwerk sicher ist, basierend auf Annahmen und nicht auf datengesteuerten Tests, vermittelt immer ein falsches Sicherheitsgefühl und könnte zu katastrophalen Ergebnissen führen.

Was ist Schwachstellenscan?

Unter Schwachstellenscan versteht man Software, die zur Bewertung anderer Software, Netzwerkvorgänge oder Anwendungen entwickelt wurde. Diese Schwachstellentestsoftware sucht nach potenziellen Schwachstellen im Code oder in der Struktur. Auf die gleiche Weise, wie ein Fertigungsingenieur sein Produkt auf strukturelle Integrität überwacht, führen Schwachstellentests dasselbe durch und suchen nach Schwachstellen oder schlechter Konstruktion. Die Scans identifizieren Bereiche, in denen ein System anfällig für Angriffe sein könnte.

Es gibt zwei Arten von Scans: authentifiziert und nicht authentifiziert. Der Unterschied besteht darin, dass authentifizierte Scans einen direkten Netzwerkzugriff über Remote-Protokolle wie Secure Shell (SSH) oder Remote Desktop Protocol (RDP) ermöglichen. Ein nicht authentifizierter Scan kann nur öffentlich sichtbare Informationen untersuchen und keine detaillierten Informationen über Vermögenswerte liefern. Diese Art von Scan wird typischerweise von Sicherheitsanalysten verwendet, die versuchen, den Sicherheitsstatus eines Netzwerks zu ermitteln.

Moderne Scansoftware ist häufig als Software-as-a-Service (SaaS) von bestimmten Anbietern verfügbar, die webbasierte Schnittstellenanwendungen erstellen. Diese Anwendungen verfügen über die Möglichkeit, installierte Software zu scannen, Ports zu öffnen, Zertifikate zu validieren und vieles mehr.

Scanner stützen sich auf veröffentlichte und regelmäßig aktualisierte Listen bekannter Schwachstellen, die für weit verbreitete Software verfügbar sind. Sicherheitslücken werden erst dann auf die Liste gesetzt, wenn es eine nennenswerte Lösung gibt (was bei Zero-Day-Angriffen zu Schwierigkeiten führen kann). Wenn die Software eine Anomalie erkennt, wird ein Patch bereitgestellt. Die Software soll Probleme erkennen, indem sie die Software nach Versionsinformationen abfragt und die Antworten beobachtet, die die Software auf bestimmte Anfragen gibt.

Schwachstellen werden nach Priorität klassifiziert. Kritische Schwachstellen weisen auf eine hohe Wahrscheinlichkeit hin, dass ein Angreifer Schwachstellen ausnutzen und Schaden anrichten könnte. Bedrohungen mit niedrigerer Priorität können Eindringlingen möglicherweise dabei helfen, Informationen zu sammeln, ermöglichen jedoch keine direkten Sicherheitsverletzungen.

Das Center for Internet Security (CIS) betrachtet kontinuierliches Schwachstellenscannen als eine entscheidende Voraussetzung für eine wirksame Cyberabwehr.

Was ist Penetrationstest?

Im Gegensatz zum Schwachstellenscan ist ein Penetrationstest (auch „Pentest“ genannt) ein autorisierter Angriff, der auf einem Computersystem simuliert wird und dazu dient, die Sicherheit des Systems zu bewerten. Tests werden durchgeführt, um Schwachstellen (Schwachstellen) zu identifizieren, beispielsweise die Fähigkeit, Zugriff auf die Funktionen oder Daten eines Systems zu erhalten. Außerdem wird eine Risikobewertung des Gesamtsystems erstellt.

Ein Penetrationstest kann dabei helfen, festzustellen, ob ein System anfällig für einen Angriff ist, ob die aktuellen Abwehrsysteme ausreichen und wenn nicht, welche Abwehrmaßnahmen besiegt wurden.

Penetrationstests können entweder auf bekannte Schwachstellen in Anwendungen oder auf allgemeine Muster abzielen, die in vielen Anwendungen auftreten. Es kann nicht nur Softwarefehler, sondern auch Schwachstellen in einer Anwendungs- und Netzwerkkonfiguration finden.

Es gibt typischerweise fünf Phasen eines Penetrationstests:

Aufklärung - Sammeln von Informationen über das Zielsystem.
Scanning - Penetrationstest-Tools, die dazu dienen, die Kenntnisse des Angreifers über das System zu erweitern.
Zugriff erlangen - Mithilfe zuvor gesammelter Daten kann der Angreifer einen Exploit im System gezielt ausnutzen.
Aufrechterhaltung des Zugriffs - Maßnahmen ergreifen, um in der Zielumgebung zu bleiben und so viele Daten wie möglich zu sammeln.
Spuren verwischen - Um anonym zu bleiben, muss der Angreifer alle Spuren des Angriffs vom System löschen, einschließlich aller Arten von gesammelten Daten oder protokollierten Ereignissen.

„Fuzzed“-Pakete sind eine beliebte Technik. Hierbei handelt es sich um legitime Anfragen an Anwendungen, bei denen ein oder mehrere Zeichen zufällig geändert werden. Sie üben die Fähigkeit des Systems aus, fehlerhafte Eingaben sauber zu verarbeiten.

Wie bei Schwachstellenscans können die Tests entweder authentifiziert oder nicht authentifiziert sein. Ein authentifizierter Test wird als registrierter und angemeldeter Benutzer im internen Netzwerk ausgeführt, während ein nicht authentifizierter Test von einer externen Quelle ohne Netzwerkprivilegien erfolgen würde.

In manchen Fällen geht das Testen über das Senden und Empfangen von Daten hinaus und untersucht die Geschäftsprozesse einer Organisation. Wenn es in den ihnen zugewiesenen Bereich fällt, können Tester Phishing-Nachrichten senden, um die Fähigkeit der Benutzer zu testen, betrügerische Anfragen abzufangen. Möglicherweise versuchen sie sogar, sich in die Einrichtungen einzuschleichen, um die physische Sicherheit zu testen.

Sicherheitsexperten klassifizieren Pentests als „White Box“ oder „Black Box“. „Ein White-Box-Test nutzt möglichst viele Informationen über das Zielsystem. Dazu gehören die ausgeführte Software, die Netzwerkarchitektur und manchmal sogar der Quellcode. Bei einem Black-Box-Test werden nur öffentlich verfügbare Informationen verwendet.

Ein White-Box-Test sollte im Prinzip mehr Probleme finden, da er über mehr Informationen verfügt. Allerdings kann es für einen Penetrationstester leicht passieren, dass er von seinem Wissen über das System abhängig wird und nicht mehr so viel seiner Vorstellungskraft freien Lauf lässt. Black-Box-Tester gehen von der gleichen Position aus wie ein Eindringling von außen und müssen Schwachstellen ohne Hilfe finden. Möglicherweise entwickeln sie Ansätze, an die White-Box-Tester nicht denken. Beide Methoden haben ihre Vor- und Nachteile.

Pentests sind keine einzelne Sicherheitslösung, sondern Bestandteil eines vollständigen Sicherheitsaudits. Um beispielsweise PCI-konform zu bleiben, erfordert der Payment Card Industry Data Security Standard regelmäßig geplante Sicherheitspenetrationstests, insbesondere nach Systemänderungen.

Sicherheitstestberichte verstehen

Das Ergebnis beider Testarten ist ein detaillierter Bericht über die festgestellten Probleme. Schwachstellenberichte sind lang, aber unkompliziert. Für jedes Problem werden im Bericht eine Quelle, eine Schweregradbewertung, eine Beschreibung und eine Abhilfemaßnahme aufgeführt. Die typische Abhilfe ist die Installation eines Patches. Wenn die Software Schwachstellen aufweist und ihr Herausgeber sie nicht mehr pflegt, kann es notwendig sein, sie durch etwas Sichereres zu ersetzen. Die InfoSec-Mitarbeiter müssen eine detaillierte Sichtung der Liste durchführen und Maßnahmen beseitigen oder verschieben, wenn die Schwachstelle ein geringes oder kein Risiko darstellt.

Im Bericht eines Penetrationstests werden weniger Elemente aufgeführt, diese sind jedoch nicht so einfach zu erklären und zu beheben. Es wird die Angriffstechnik beschrieben, die oft mehrdeutig ist. Es werden die möglichen Auswirkungen erläutert. Die Abhilfe könnte eine einfache sein, beispielsweise eine Zugangsbeschränkung. In anderen Fällen kann eine ernsthafte Analyse erforderlich sein, um eine Lösung zu finden. Ein aussagekräftiger Bericht stellt die Ergebnisse in einen Kontext und gibt detaillierte Empfehlungen zur Behebung.

Unterschied zwischen Penetrationstests und Schwachstellenscanprozess

Die Durchführung eines Penetrationstests gilt als anspruchsvoller oder zumindest aufwändiger als ein Schwachstellenscan.

Bei einem Penetrationstest wird versucht, in ein Sicherheitssystem einzudringen. Wenn das System über ausreichende Abwehrmechanismen verfügt, werden Alarme ausgelöst. Obwohl Administratoren den Unterschied zwischen einem Test und einer echten Bedrohung kennen müssen, dürfen sie sich vor glaubwürdigen Angriffen, die gleichzeitig stattfinden könnten, nicht entmutigen.

Idealerweise sollte ein Penetrationstest einmal im Jahr durchgeführt werden, wohingegen Schwachstellentests kontinuierlich durchgeführt werden sollten.

Ein Penetrationstest erfordert mehr Kreativität als ein Schwachstellenscan, da er nach Möglichkeiten sucht, den normalen Geschäftsverlauf auszunutzen. Beispielsweise könnte ein CEO sein Passwort an sein Webmail übermitteln und dabei dasselbe Passwort wie ein internes LDAP verwenden. Um beim Testen neue Strategien zu entwickeln, sollten Sie mit Leuten zusammenarbeiten, die kreativ, aber auch technisch in der Lage sind, den Angriff auszuführen.

Das Scannen von Sicherheitslücken ist ein wesentlicher Prozess zur Aufrechterhaltung der Informations- und Netzwerksicherheit. Für jedes neu hinzugefügte Gerät oder jede neu bereitgestellte Software sollte innerhalb eines Monats danach ein Schwachstellenscan durchgeführt werden. Es ist wichtig, eine Grundausstattung an wichtiger Ausrüstung zu erstellen, die regelmäßig aktualisiert und gewartet wird. Alle nach einem Scan gefundenen offenen Ports oder Änderungen sollten untersucht und als schwerwiegend eingestuft werden.

Schwachstellenscans und Penetrationstests sind unerlässlich

Um ein detailliertes und gut geschütztes Sicherheitsniveau für ein Netzwerk zu gewährleisten, müssen detaillierte Schritte unternommen werden, um sowohl Schwachstellenscans als auch Penetrationstests durchzuführen. Bei der Suche nach Schwachstellen wird ungepatchte und schlecht gewartete Software gefunden. Es fordert IT-Mitarbeiter auf, Software zu aktualisieren, bei der Probleme oder potenzielle Schwachstellen aufgetreten sind. Wenn das nicht möglich ist, muss das Team einen Workaround finden oder die Software ersetzen.

Beim Scannen werden nicht alle Probleme gefunden. Der sicherste Weg, um zu entscheiden, ob ein System sicher ist, besteht darin, zu versuchen, es zu knacken. Dadurch werden nicht nur Softwarefehler, sondern auch unsichere Verbindungen, Konfigurationsschwächen und offengelegte Daten gefunden.