Was ist Penetrationstest? {Schritte, Methoden, Typen}

Die Beseitigung von Schwachstellen in Systemen und Anwendungen hat für die Cybersicherheit Priorität. Unternehmen greifen auf verschiedene Techniken zurück, um Softwarefehler zu entdecken, aber keine Testmethode bietet eine realistischere und umfassendere Analyse als ein Penetrationstest.

Dieser Artikel ist eine Einführung in Penetrationstests. Lesen Sie weiter, um zu erfahren, wie Pentests funktionieren und wie Unternehmen diese Tests nutzen, um kostspielige und schädliche Verstöße zu verhindern.

Definition von Penetrationstests

Penetrationstests (oder Pentests) sind die Simulation eines Cyberangriffs, bei dem ein Computersystem, ein Netzwerk oder eine Anwendung auf Sicherheitslücken getestet wird. Diese Tests basieren auf einer Mischung aus Tools und Techniken, die echte Hacker nutzen würden, um in ein Unternehmen einzudringen.

Andere gebräuchliche Bezeichnungen für Penetrationstests sind White-Hat-Angriffe und Ethical Hacking.

Penetrationstester verwenden in der Regel eine Mischung aus automatisierten Testtools und manuellen Verfahren, um einen Angriff zu simulieren. Tester verwenden auch Penetrationstools, um Systeme zu scannen und Ergebnisse zu analysieren. Ein gutes Penetrationstest-Tool sollte:

• Seien Sie einfach einzurichten und zu verwenden.
• Seien Sie beim Systemscan schnell.
• Sortieren Sie Schwächen nach Schweregrad.
• Automatisieren Sie die Überprüfung von Schwachstellen.
• Überprüfen Sie frühere Exploits erneut.
• Stellen Sie detaillierte Berichte und Protokolle bereit.

Das Hauptziel eines Pentests besteht darin, Sicherheitsbedenken bei Betriebssystemen, Diensten, Anwendungen, Konfigurationen und Benutzerverhalten zu identifizieren. Diese Form des Testens ermöglicht es einem Team, Folgendes herauszufinden:

• Systemschwachstellen und Sicherheitslücken.
• Mangelnde Einhaltung von Datenschutz- und Sicherheitsvorschriften (PCI, HIPAA, DSGVO usw.)
• Mangelndes Sicherheitsbewusstsein im gesamten Team.
• Mängel in den Protokollen zur Bedrohungserkennung.
• Verbesserungspotenzial beim Reaktionsplan für Vorfälle.
• Fehler in der Sicherheitsrichtlinie.

Unternehmen beauftragen in der Regel externe Auftragnehmer mit der Durchführung von Pentests. Da es an Systemkenntnissen mangelt, kann ein externer Tester gründlicher und einfallsreicher vorgehen als interne Entwickler. Einige Unternehmen führen auch Kopfgeldprogramme durch, die Freiberufler dazu einladen, Systeme zu hacken, und ihnen eine Gebühr versprechen, wenn sie gegen das System verstoßen.

Was ist das Endergebnis eines Penetrationstests?

Das Endergebnis eines Penetrationstests ist der Pentestbericht. Ein Bericht informiert IT- und Netzwerksystemmanager über die im Test entdeckten Schwachstellen und Exploits. Ein Bericht sollte auch Schritte zur Behebung der Probleme und zur Verbesserung der Systemverteidigung enthalten.

Jeder Pentestbericht sollte Folgendes enthalten:

• Eine Zusammenfassung: Die Zusammenfassung bietet einen allgemeinen Überblick über den Test. Auch technisch nicht versierte Leser können die Zusammenfassung nutzen, um einen Einblick in die durch den Pentest aufgedeckten Sicherheitsbedenken zu gewinnen.
• Tools, Methoden und Vektoren: In diesem Abschnitt werden die Tools und Methoden behandelt, die hinter dem Test stehen. Die Tester skizzieren außerdem Schritt-für-Schritt-Angriffsmuster, die zu einem erfolgreichen Verstoß führten.
• Detaillierte Ergebnisse: In diesem Abschnitt werden alle Sicherheitsrisiken, Schwachstellen, Bedrohungen und Bedenken aufgeführt, die durch den Penetrationstest entdeckt wurden. Im Gegensatz zur Zusammenfassung geht dieser Teil des Berichts ausführlich auf technische Details ein.
• Empfehlungen: Im Abschnitt „Empfehlungen“ wird erläutert, wie Sie die Sicherheit verbessern und das System vor echten Cyberangriffen schützen können.

Wie oft sollten Sie Penetrationstests durchführen?

Unternehmen führen regelmäßig Penetrationstests durch, in der Regel einmal im Jahr. Zusätzlich zu den jährlichen Tests sollte ein Unternehmen immer dann einen Pentest organisieren, wenn das Team:

• Fügt eine neue Netzwerkinfrastruktur hinzu.
• Installiert neue Anwendungen.
• Erhebliche Aktualisierung oder Änderung der Infrastruktur oder Anwendungen.
• Richtet ein Büro an einem neuen Standort ein.
• Fügt neue Sicherheitspatches hinzu.
• Nimmt Änderungen an Endbenutzerrichtlinien vor.

Abhängig von der Größe und dem Budget Ihres Unternehmens ist die Durchführung eines Penetrationstests bei jeder Änderung durch das Team möglicherweise nicht realistisch. In diesem Fall sollte das Team eine Kombination aus Penetrationstests und Schwachstellenscans verwenden. Automatisierte Schwachstellenscans sind zwar nicht so effizient, aber schneller und kostengünstiger als Pentests.

Schritte zum Penetrationstest

Penetrationstests sind eine komplexe Praxis, die aus mehreren Phasen besteht. Im Folgenden erfahren Sie Schritt für Schritt, wie ein Pen-Test ein Zielsystem überprüft.

Umfang des Penetrationstests

Dieser Schritt beinhaltet die erste Vorbereitung auf den Test. Das Team sollte:

• Beschreiben Sie die Logistik des Tests.
• Definieren Sie den Testumfang.
• Setzen Sie Erwartungen.
• Ziele setzen.
• Definieren Sie die Aggressionsgrenzen des Penetrationsteams.
• Berücksichtigen Sie mögliche rechtliche Auswirkungen.

Aufklärung (Geheimdienstbeschaffung)

Schon in der Phase der Informationsbeschaffung beginnen Hacker, mehr über das System zu erfahren und nach potenziellen Einstiegspunkten zu suchen. In dieser Phase muss das Team in erster Linie Informationen über das Ziel sammeln, aber die Tester können auch oberflächliche Schwachstellen entdecken.

Der Aufklärungsschritt umfasst den Scan von:

• Die gesamte Hardware.
• Die lokalen und drahtlosen Netzwerke.
• Firewalls.
• Relevante Anwendungen.
• Websites.
• Cloudbasierte Systeme.
• Verhalten und Protokolle der Mitarbeiter.

Ein weiterer gebräuchlicher Begriff für die Aufklärungsphase ist Open-Source Intelligence (OSINT) Gathering.

Bedrohungsmodellierung

Tester nutzen die Erkenntnisse aus der Aufklärungsphase, um benutzerdefinierte Bedrohungen zu entwickeln, die in das System eindringen. Das Team identifiziert und kategorisiert außerdem verschiedene Assets zum Testen.

Ausbeutung

Tester versuchen, über die Einstiegspunkte, die sie in früheren Phasen gefunden haben, in das Ziel einzudringen. Wenn sie in das System eindringen, versuchen die Tester, ihre Zugriffsrechte zu erhöhen. Wenn Penetrationstester sich seitlich durch das System bewegen, können sie Folgendes identifizieren:

• Schlechte Netzwerksegmentierungseinstellungen.
• Zugriff auf sensible Daten und Ressourcen.
• Schwache Verwaltung von Konten und Passwörtern.

Post-Ausbeutung

Penetrationstester ermitteln, wie groß der Schaden ist, den ein Hacker durch die Ausnutzung von Systemschwächen anrichten könnte. In der Post-Exploitation-Phase müssen die Tester außerdem festlegen, wie sich das Sicherheitsteam nach der Testverletzung erholen soll.

Analyse, Berichterstattung und Erstellung umsetzbarer Schutzmaßnahmen

Tester fassen die Testergebnisse in einem Bericht zusammen, der Folgendes beschreibt:

• Die schrittweise Aufschlüsselung der Hackeraktivitäten.
• Die entdeckten Schwachstellen und Schwachstellen.
• Die Datentester konnten erreichen.
• Wie lange blieben die Tester unentdeckt im System?
• Maßnahmen, die das Unternehmen ergreifen muss, um Schwachstellen zu beseitigen und sich vor echten Angriffen zu schützen.

Erneuter Test

Sobald das Sicherheitsteam die Änderungen aus dem Stiftbericht implementiert, ist das System für einen erneuten Test bereit. Die Tester sollten dieselben simulierten Angriffe ausführen, um zu sehen, ob das Ziel dem Angriffsversuch nun widerstehen kann.

Standardisierte Penetrationstestmethoden

Unternehmen verlassen sich in der Regel auf eine der fünf standardisierten Penetrationstestmethoden: OWASP, OSSTMM, ISSAF, PTES und NIST.

OWASP

Das OWASP (Open Web Application Security Project) ist ein Framework zur Identifizierung von Anwendungsschwachstellen. Mit dieser Methode kann ein Team:

• Erkennen Sie Schwachstellen in Web- und Mobilanwendungen.
• Entdecken Sie Mängel in den Entwicklungspraktiken.

Mit dem OWASP können Tester außerdem Risiken bewerten, was Zeit spart und bei der Priorisierung von Problemen hilft. Dieses Framework verfügt über eine riesige Benutzergemeinschaft, sodass es keinen Mangel an OWASP-Artikeln, -Techniken, -Tools und -Technologien gibt.

OSSTMM

Das OSSTMM (Open-Source Security Testing Methodology Manual) basiert auf einer wissenschaftlichen Methodik für Netzwerkpenetrationstests. Dieses von Experten überprüfte Framework bietet eine genaue Charakterisierung der Betriebssicherheit, die sich ideal für ethisches Hacken eignet.

Mit dem OSSTMM können Penetrationstester maßgeschneiderte Tests durchführen, die den technologischen und spezifischen Anforderungen des Unternehmens entsprechen.

ISSAF

Das ISSAF (Information System Security Assessment Framework) bietet einen spezialisierten und strukturierten Testansatz.

Dieses Framework ist ideal für Tester, die jeden Schritt des Pentests detailliert planen und dokumentieren möchten. Das ISSAF ist auch für Tester nützlich, die verschiedene Tools verwenden, da die Methode es Ihnen ermöglicht, jeden Schritt einem bestimmten Tool zuzuordnen.

PTES

Die PTES (Penetration Testing Methodologies and Standards) bieten einen hochstrukturierten siebenstufigen Testansatz. Diese Methodik führt Tester durch alle Schritte des Penetrationstests, von der Aufklärung und Datenerfassung bis hin zur Post-Exploitation und Berichterstattung.

Das PTES erfordert, dass Tester die Prozesse der Organisation kennen, um erfolgreiche Tests durchführen zu können.

NIST

Das NIST (National Institute of Standards and Technology) bietet präzise Richtlinien für Penetrationstests, um die allgemeine Cybersicherheit zu verbessern. Dieses Framework ist in Hochrisikobranchen wie Banken, Kommunikation und Energie beliebt.

Die Einhaltung des NIST ist für amerikanische Unternehmen häufig eine regulatorische Anforderung. Um NIST zu erfüllen, muss ein Unternehmen Penetrationstests für Anwendungen und Netzwerke durchführen.

Arten von Penetrationstests

Penetrationstests unterscheiden sich hinsichtlich der Ziele, Bedingungen und Vorgaben. Je nach Testaufbau stellt das Unternehmen den Testern unterschiedlich umfangreiche Informationen über das System zur Verfügung. In manchen Fällen ist das Sicherheitsteam dasjenige, das über begrenzte Kenntnisse über den Test verfügt.

Black-Box-Penetrationstests

Das Penetrationsteam hat bei einem Black-Box-Test keine Informationen über das Zielsystem. Die Hacker müssen ihren eigenen Weg in das System finden und planen, wie sie einen Verstoß orchestrieren können.

Typischerweise erfahren die Tester zu Beginn eines Black-Box-Tests nur den Namen des Unternehmens. Das Penetrationsteam muss mit einer detaillierten Aufklärung beginnen, daher erfordert diese Form der Prüfung viel Zeit.

Gray-Box-Penetrationstests

Das Testteam verfügt über das Wissen eines Benutzers mit erhöhten Rechten. Der Hacker weiß von:

• Das Design und die Architektur der Dokumentation.
• Interne Strukturen.

Ein Gray-Box-Pentest ermöglicht es dem Team, sich von Anfang an auf die Ziele mit dem größten Risiko und Wert zu konzentrieren. Diese Art von Tests ist ideal, um einen Angreifer nachzuahmen, der über einen längeren Zeitraum Zugriff auf das Netzwerk hat.

White-Box-Penetrationstests

Pentester verfügen über Informationen über das Zielsystem, bevor sie mit der Arbeit beginnen. Zu diesen Informationen können gehören:

• IP-Adressen.
• Schemata der Netzwerkinfrastruktur.
• Benutzerprotokolle.
• Systemartefakte (Quellcode, Binärdateien, Container).

Je nach Setup können Tester sogar auf die Server zugreifen, auf denen das System läuft. White-Box-Tests sind zwar nicht so authentisch wie Black-Box-Tests, lassen sich aber schnell und kostengünstig organisieren.

Gezieltes Testen

Die IT-Mitarbeiter des Unternehmens und das Testteam arbeiten zusammen, um gezielte Tests durchzuführen. Tester und Sicherheitspersonal kennen die Aktivitäten des jeweils anderen in allen Phasen.

Ein anderer Begriff für gezieltes Testen ist der „Lights Turning“-Ansatz, da der Test für alle Teilnehmer transparent ist.

Externe Tests

Externe Tests simulieren einen Angriff auf von außen sichtbare Server oder Geräte. Übliche Ziele für externe Tests sind:

• Domain-Name-Server (DNS).
• Web Applikationen.
• E-Mail-Server.
• Websites.
• Web- und Anwendungsserver.
• Firewalls.

Das Ziel externer Tests besteht darin, herauszufinden, ob ein externer Angreifer in das System eindringen kann. Das sekundäre Ziel besteht darin, zu sehen, wie weit der Angreifer nach einem Verstoß kommen kann.

Interne Tests

Interne Tests imitieren eine Insider-Bedrohung, die hinter der Firewall entsteht. Der typische Ausgangspunkt für diesen Test ist ein Benutzer mit Standardzugriffsrechten. Die beiden häufigsten Szenarien sind:

• Ein verärgerter Mitarbeiter, der beschloss, das System zu beschädigen.
• Ein Angreifer, der über einen Phishing-Angriff auf das System zugegriffen hat.

Interne Tests sind ideal, um festzustellen, wie viel Schaden ein böswilliger oder kompromittierter Mitarbeiter dem System zufügen kann.

Blindtest

Blindtests simulieren einen realen Angriff. Während das Sicherheitsteam über den Test Bescheid weiß, verfügt das Personal nur über begrenzte Informationen über die Sicherheitsverletzungsstrategie oder die Aktivitäten des Testers.

Doppelblindtests

Bei einem Doppelblindverfahren wissen nur ein oder zwei Personen im Unternehmen über den bevorstehenden Test Bescheid. Doppelblindtests eignen sich hervorragend zur Untersuchung von:

• Sicherheitsüberwachungssysteme.
• Protokolle zur Identifizierung von Vorfällen.
• Antwortverfahren.

Ein Doppelblindtest bietet einen authentischen Einblick in die Fähigkeit des Sicherheitsteams, einen realen Angriff zu erkennen und darauf zu reagieren.

Penetrationstestansätze (Testbereiche)

Im Folgenden finden Sie die verschiedenen Penetrationstest-Ansätze, mit denen Sie die Abwehrmaßnahmen Ihres Unternehmens überprüfen können.

Netzwerkpenetrationstests und -ausnutzung

Netzwerkpenetrationstests ahmen Hacking-Techniken nach, um in Netzwerke, Router, Switches und Hosts einzudringen.

Zu dieser Testform gehören:

• Firewall-Umgehung.
• Umgehen eines Intrusion-Prevention-Systems der nächsten Generation (NGIPS).
• Testen von Routern und Proxyservern.
• IPS- und DPS-Umgehung.
• Offener Port-Scan.
• SSH-Sicherheitsangriffe.
• Testen von Richtlinien, die seitliche Bewegungen stoppen.
• Abfangen des Netzwerkverkehrs.
• Entdecken Sie ältere Geräte und Appliances von Drittanbietern.

Diese Art von Tests umfasst sowohl die interne als auch die externe Netzwerkausnutzung. Häufige Schwachstellen, die die Netzwerkdurchdringung entdeckt, sind:

• Falsch konfigurierte Assets.
• Produktspezifische Schwachstellen.
• Schwachstellen im drahtlosen Netzwerk.
• Schurkendienste.
• Schwache Passwortprotokolle.

Ein simulierter Angriff auf die Netzwerkinfrastruktur eines Unternehmens ist die häufigste Art von Penetrationstests.

Sicherheitstests für Webanwendungen

Anwendungssicherheitstests suchen nach potenziellen Risiken in serverseitigen Anwendungen. Typische Themen dieser Tests sind:

• Web Applikationen.
• APIs.
• Verbindungen.
• Rahmenwerke.
• Mobile Apps.

Zu den häufigsten Anwendungsschwachstellen gehören:

• Cross-Site-Anfragefälschung und Scripting.
• Einspritzfehler.
• Schlechte Sitzungsverwaltung.
• Unsichere direkte Objektreferenzen.
• Codierungsfehler.
• Defekte Authentifizierungs- oder Autorisierungsprotokolle.
• Schwache Kryptographie.

Clientseitig oder Website und drahtloses Netzwerk

Bei dieser Art von Tests werden drahtlose Geräte und Infrastrukturen auf Schwachstellen untersucht. Ein WLAN-Pentest erkennt unsichere WLAN-Konfigurationen und mangelhafte Authentifizierungsprüfungen.

Diese Art von Tests umfasst das Scannen von:

• Fehlkonfigurationen des Webservers.
• Anti-Malware- und DDoS-Präventionsstrategien.
• SQL-Injektionen.
• Spoofing von MAC-Adressen.
• Mediaplayer und Software zur Inhaltserstellung.
• Cross-Site-Scripting.
• Hotspots und Zugangspunkte.
• Verschlüsselungsprotokolle.

Social-Engineering-Angriffe

Social-Engineering-Tests suchen nach Schwachstellen in den Protokollen und Verhaltensweisen der Mitarbeiter. Opfer eines Social-Engineering-Angriffs zu werden, kann zu unbefugtem Zugriff, Malware, Ransomware oder kompromittierten Anmeldedaten führen.

Social-Engineering-Pentests ahmen typischerweise reale Angriffe nach, wie zum Beispiel:

• Lauschen.
• Zu dichtes Auffahren.
• Phishing-Angriffe.
• Speerfischen.
• Hetze.
• Scareware.
• Vorwand.

Körperliche Prüfung

Physische Penetrationstests versuchen, sich physischen Zugang zu Geschäftsbereichen zu verschaffen. Diese Art von Tests gewährleistet die Integrität von:

• RFID-Systeme.
• Kameras.
• Türsprechanlagen und Tastaturen.
• Verhalten von Mitarbeitern und Lieferanten.
• Bewegungs- und Lichtsensoren.

Hacker kombinieren häufig physische Tests mit Social Engineering, um realistische Angriffsbedingungen zu schaffen.

Cloud-Pen-Test

Cloud-Penetrationstests untersuchen die Abwehrmaßnahmen zum Schutz von Cloud-Assets. Pen-Tests identifizieren potenzielle Gefährdungen innerhalb von Anwendungen, Netzwerken und Konfigurationen im Cloud-Setup, die Hackern Zugriff auf Folgendes verschaffen könnten:

• Referenzen des Unternehmens.
• Interne Systeme.
• Sensible Daten.

Diese Art von Tests ist für Unternehmen, die auf IaaS-, PaaS- und SaaS-Lösungen angewiesen sind, unerlässlich. Cloud-Pen-Tests sind auch wichtig, um sichere Cloud-Bereitstellungen zu gewährleisten.

Ein wichtiger Bestandteil jeder Risikobewertungsstrategie

Penetrationstests ermöglichen es einem Unternehmen, Systemschwächen proaktiv zu entdecken, bevor Hacker Gelegenheit erhalten, Schaden anzurichten. Führen Sie regelmäßig simulierte Angriffe auf Ihre Systeme durch, um einen sicheren IT-Betrieb zu gewährleisten und kostspielige Sicherheitsverletzungen zu verhindern.