- Email: info@laokoon-security.com
- Am Hauptbahnhof 6, 53111 Bonn
- +49 228 50443980
PenTest, Penetrationstest, Penetrationtest, Vulnerability Assessment, Schwachstellenanalyse – Viele Begriffe, die zwar unterschiedlich klingen. Sie meinen oftmals etwas ähnliches: Die professionelle Untersuchung von IT-Systemen auf Schwachstellen.
Ein Penetrationstest zielt darauf ab, ein IT-System, beispielsweise eine neuentwickelte Software, strukturiert auf Schwachstellen zu untersuchen und diese den Systemverantwortlichen zu melden.
Die Systemverantwortlichen nutzen diese Informationen anschließend, um die erkannten Schwachstellen zu beheben. Auf diese Weise können IT-Systeme vor Hackerangriffen geschützt werden.
Es gibt mindestens so viele Arten von Penetrationstests, wie es unterschiedliche Arten von IT-Systemen gibt. Andersherum wird ein Schuh drauß: Jedes IT-System kann Schwachstellen besitzen. Dementsprechend sollte auch jedes IT-System auf diese Schwachstellen im Rahmen eines Pentest untersucht werden.
So gibt es unterschiedlichste Ausprägungen und Spezialisierungen, die ein Penetrationstester vorweisen muss.
Wir unterscheiden auf Empfehlung des BSI Penetrationstests in folgende Klassifizierungen:
Durchführung
Handelt es sich bei dem Penetrationstest um den Test
Soll der Penetrationstest eher
durchgeführt werden?
Soll der Penetrationstest vollständig, durch Faktoren wie Budget begrenzt erfolgen oder sich auf bestimmte Schwachstellen fokussieren.
Soll bei der Durchführung des Penetrationstests offensichtlich (umfangreiche Log-Einträge stellen hier kein Problem dar, die Verteidiger sind eingeweiht) oder verdeckt vorgegangen werden?
Soll der Test von außerhalb, aus der DMZ oder von innen durchgeführt werden? Wird ein gesondertes Testnetzwerk zur Verfügung gestellt?
Welche Techniken sollen bei der Durchführung des Penetrationstests eingesetzt werden? Sind Social Engineering oder physischer Zugang im Scope mitenthalten?
Besonders bei Penetrationstests von Applikationen spielen diese Techniken keine Rolle. In der Regel fokussieren wir uns bei Penetrationstests auf den Netzwerkzugang. Physischer Zugang und Social Engineering werden insbesondere bei unseren Attack Simulationen eingesetzt.
Automatisierte Schwachstellenscans werden mit sogenannten Schwachstellenscannern, auch Vulnerability Scannern genannt, durchgeführt.
Dabei werden vordefinierte Netzwerk-Abschnitte auf bekannte Schwachstellen und Fehlkonfigurationen untersucht. Wird im Unternehmen bekannte Software, beispielsweise von Microsoft eingesetzt, erkennen Schwachstellenscanner oftmals anhand der Versionsnummer, ob die Software von Schwachstellen betroffen ist. Als Empfehlung wird in diesem Falle oftmals ein Update empfohlen.
Die Erkennung basiert auf sogenannten Proof-of-Concept-Skripten, die regelmäßig vom Hersteller des jeweiligen Schwachstellenscanner zur Verfügung gestellt werden.
Im Gegensatz dazu kann ein Schwachstellenscanner mit individuell angepasster und selbstentwickelter Software in der Regel nicht sonderlich viel anfangen. Hier können zwar einzelne Fehlkonfigurationen erkannt, jedoch kaum grundlegendere Untersuchungen angestellt werden.
In diesem Fall ist es notwendig, einen professionellen Penetrationstester mit der Untersuchung zu beauftragen. Dieser findet oftmals Schwachstellen, die ein Scanner so nicht erkannt hätte.
Es ist also wichtig, dass Sie den Mehrwert von manuellen Penetrationstest von dem Output unterscheiden könne, den automatisierte Schwachstellenscanner mit sich bringen.
Wir empfehlen, dass Sie regelmäßig Ihre Systeme mit automatisierten Schwachstellenscannern untersuchen, beispielsweise wöchentlich. Immer, wenn Sie ein neues IT-System in Ihr Unternehmen einführen, sollten Sie es mit einem manuellen Penetrationstest auf Schwachstellen untersuchen lassen.
Penetrationstests erfordern Spezialwissen. Es gibt nicht die eine Art von PenTest. Jede Art von Penetrationstest erfordert gesonderte Expertise.
Mit unserem Expertenwissen für ActiveDirectory-Umgebungen spüren wir gefährliche Fehlkonfigurationen und Designfehler auf. Wir zeigen Ihnen, wie Angreifer mit Zugriff auf ein internes Netzwerk sich durch Manipulation und Ausnutzen von ActiveDirectory-Schwachstellen bis auf Ihren Domaincontroller vorarbeiten können, damit diese Schwachstellen beseitigt werden können, bevor sie von Angreifern ausgenutzt werden.
Web-Anwendungen können ein Einfallstor in Ihre DMZ darstellen. Wir finden Schwachstellen und wenden dabei nicht nur die OWASP TOP 10 an, sondern schauen auch über den Tellerrand.
APIs sind heutzutage fast überall zu finden – sei es bei Web-Anwendungen oder auch im Zusammenspiel mit Applikationen auf dem Smartphone. Das Testen von APIs erfordert besondere Spezialkenntnisse, welche unsere Hacker liefern können.
Klassische Desktop- und Server-Anwendungen, ob in Java, Go oder .NET geschrieben – wir analysieren und testen Ihre Anwendungen auf Herz und Nieren, damit weder Sie noch Ihre Kunden einer Gefahr ausgesetzt werden.
Die Welt ist vernetzt – und damit gehen Sicherheitsrisiken einher. Wir untersuchen Netzwerk-Infrastrukturen auf Schwachstellen. Könnten Angreifer aus Ihrer DMZ ausbrechen? Gibt es Schwachstellen in der Netztrennung? Wir finden die Einfallstore!
IoT-Geräte und deren Anwendungen bedürfen einer besonderen Härtung, um keine Gefahr darzustellen. Die Versorgung mit Updates ist häufig lückenhaft – die Geräte dürfen auch nach langer Zeit ohne Updates kein Sicherheitsrisiko darstellen.
Beim Red Teaming ist (fast) alles erlaubt: Mit realistischen Angriffszenarien weisen wir den Weg der Angreifer in Ihr Unternehmen auf.
Read MoreDie interne und externe Angriffsfläche auf dem Prüfstand. Bei einem Netzwerk PenTest überprüfen wir Ihr Netzwerk und Ihre Netzwerk-Infrastruktur.
Read MoreCluster und Container auf Kubernetes-Basis, ob K8s oder K3s, finden in unterschiedlichsten Bereichen Anwendung. Sie erfordern jedoch auch ein besondere Art der Analyse.
Read More