Penetration Testing: Was ist das & warum ist Pentesting erforderlich?

Kurzfassung

Ein Penetrationstest (Pentesting) ist eine strukturierte, ethische Hacking-Übung, die reale Cyberangriffe simuliert, um Sicherheitslücken aufzudecken, bevor böswillige Akteur:innen sie ausnutzen können. Ein erfolgreicher Pentest durchläuft drei Phasen: Pre-Engagement, Engagement und Post-Engagement. Sie können mehrere Methoden (Black-Box, White-Box, Grey-Box usw.) für Angriffsvektoren wie Phishing, Brute-Force und Denial-of-Service (DDoS) einsetzen. Organisationen sollten Tests basierend auf ihrem Risikoprofil, Budget und regulatorischen Anforderungen planen und für ein vollständiges Sicherheitsbild immer Web Application Firewalls (WAFs) in den Prüfbereich einbeziehen.

Was ist ein Penetrationstest?

Penetrationstests sind eine Form des Ethical Hacking. Wenn der Prozess abgeschlossen ist, werden Sie Schwachstellen in Ihren Plänen erkennen. Reporting hilft Ihnen, Patches dafür bereitzustellen, bevor echte Hacker:innen sie zuerst finden.

Am Ende eines erfolgreichen Hacks werden Sie so viel über das Sicherheitssystem Ihres Unternehmens wissen. Sie werden erkennen, wo die Lücken liegen, Sie werden verstehen, wie Mitarbeiter:innen die Maßnahmen unterstützt oder behindert haben, und Sie werden wissen, wie lange Sie gebraucht haben, um das Problem zu erkennen. 

Aber am Ende eines Hacks haben Sie etwas verloren. Möglicherweise wurden Sie gezwungen, ein Lösegeld zu zahlen, um dem Hacker die Kontrolle zu entreißen. Und möglicherweise haben Sie auch das Vertrauen der Kund:innen verloren. 

Was wäre, wenn Sie lernen könnten, ohne etwas zu verlieren? 

Warum ist Pentesting mittlerweile branchenübergreifend üblich?

Früher war Pentesting stark regulierten Branchen vorbehalten. Wenn Sie für eine Regierungsbehörde, ein Versorgungsunternehmen oder ein Finanzinstitut tätig waren, haben Sie Vorabtests durchgeführt, um die Vorschriften einzuhalten. Doch inzwischen führen viele Unternehmen solche Tests durch, da die Bedrohung durch Cyberangriffe fast alle Marktsektoren betrifft.

Was sind die Phasen eines Pentests?

Ein Hacker kann fast ohne Vorbereitung oder Planung in Aktion treten. Pentesting ist anders. Projekte sollten eine vorhersehbare Abfolge von Schritten durchlaufen, mit viel Zusammenarbeit und Austausch auf dem Weg dorthin. 

Das Payment Card Industry (PCI) Security Standards Council definiert drei kritische Pentesting-Phasen:

1. Pre-Engagement 
2. Engagement 
3. Post-Engagement

Wir gehen sie einzeln durch. 

Was passiert während der Pre-Engagement-Phase?

Ob Sie ein internes Team einsetzen oder eine:n Berater:in beauftragen, Sie müssen vor Beginn der Arbeit ein Gespräch führen. Sie werden besprechen:

• Der Geltungsbereich. Welche Komponenten sollten im Test enthalten sein? 
• Dokumentation. Wie wird die Arbeit für zukünftige Studien aufgezeichnet?
• Regeln. Wann soll die Arbeit beginnen und enden? Wie weit sollte der Hacker graben, bevor er aufhört? Werden sensible Daten angezeigt?

Ihr Gespräch kann kurz oder lang sein, abhängig von allen Aspekten, die Sie behandeln müssen. Stellen Sie sicher, dass jemand detaillierte Notizen macht, da Sie im weiteren Projektverlauf auf diese Vereinbarung zurückgreifen werden.

Was passiert während der Kundenbindungsphase?

In dieser Phase beginnt Ihr Team, sich eingehend mit den Details Ihres Systems zu befassen und nach Schwachstellen zu suchen. 

Wie Expert:innen erklären, ist ein Pentest nicht vollständig. Sie haben möglicherweise Schwachstellen, die während des Prozesses einfach nicht auffallen. Aber Ihr Hacking-Team sollte hier hart daran arbeiten, Ihre Verteidigung zu durchbrechen. Das Ziel ist es, herauszufinden, wie weit ein Hacker in Ihre Server eindringen kann, ohne von Ihnen entdeckt zu werden. 

Ein Pentesting-Team überprüft in der Regel:

• Anwendungsschichten.
• Netzwerkschichten.
• Segmentierung.

Wenn sensible Daten offengelegt werden, sollte das Team Sie umgehend benachrichtigen. Und alles, was das Team während des Tests beschädigt oder ändert, sollte nach Abschluss der Arbeiten bereinigt werden.

Was passiert während der Post-Engagement-Phase?

Am Ende eines Tests sollten Sie einen Bericht für eine tiefgehende Analyse vorliegen haben. Nutzen Sie dies als Feedback, um Änderungen an Ihren Sicherheitssystemen zu steuern. 

Das Feedback, das Sie erhalten, sollte sich auf ausgenutzte Schwachstellen beziehen. Mit anderen Worten ist es nicht hilfreich, Berichte über die cleveren oder interessanten Dinge zu erhalten, die der Hacker über Ihre Systeme herausgefunden hat. Alles im Bericht sollte sowohl anwendbar als auch nutzbar sein. 

Welche Angriffsvektoren deckt ein Pentest ab?

Ihr Hacking-Team könnte im Verlauf der Arbeit fast jeden Teil Ihres Sicherheitssystems auf die Probe stellen. Allerdings weist das International Council of E-Commerce Consultants (EC-Council) darauf hin, dass sich die meisten auf lediglich sieben verschiedene Angriffsvektoren konzentrieren. 

1. Cross-Site-Scripting: Ein:e Hacker:in gibt sich als Benutzer:in aus, um die Sicherheit einer webbasierten Anwendung zu testen. 
2. Brute-Force-Angriff: Ein Hacker probiert Hunderte oder Tausende von Benutzername/Passwort-Kombinationen aus, um sich Zugriff zu verschaffen. 
3. Backdoor-Shell-Angriff: Ein Hacker verwendet Malware, um sich Zugang zu verschaffen, obwohl dieser Person der Zugriff nicht gestattet sein sollte. 
4. Man-in-the-Middle-Angriff: Der Hacker versucht, Zugriff auf den Serverdatenverkehr zu erlangen, um Pakete zu verändern, bevor sie zugestellt werden. 
5. Buffer-Overflow-Angriff: das Team versucht, einen Puffer mit so vielen Daten zu überfluten, dass er versagt und der Hacker Zugriff auf den Speicher erlangt. 
6. Phishing-Angriff: Der Hacker versucht, Mitarbeiter:innen und Benutzer:innen dazu zu verleiten, sensible Daten preiszugeben, die genutzt werden können, um sich Zugang zu verschaffen. 
7. Distributed Denial of Service: Der Hacker überflutet den Server mit so vielen Anfragen, dass dieser auf legitime Anfragen nicht mehr reagieren kann. 

Jeder dieser Hacks könnte Schäden in Höhe von Hunderttausenden von Dollar verursachen. Wenn Sie diese bei Penetrationstests entdecken, könnten Sie Ihrem Unternehmen sowohl Geld als auch Ärger ersparen.

Wie oft sollten Sie einen Pentest planen?

Genauso wie keine zwei Systeme gleich sind, gleichen sich auch keine zwei Pentesting-Zeitpläne. Ihr Zeitplan sollte individuell angepasst werden, um den spezifischen Zielen und dem regulatorischen Umfeld Ihres Unternehmens zu entsprechen. 

Wenn Sie aufgrund behördlicher oder lokaler Vorschriften nicht verpflichtet sind, nach einem festen Zeitplan zu testen, erstellen Sie Ihren Zeitplan unter Berücksichtigung Ihrer:

• Risiko. Haben Sie sehr verlockende Daten, die fast jeder haben möchte? Würden Sie Ihr Unternehmen als ein hochwertiges Ziel betrachten?
• Schutz. War Ihr Unternehmen aus irgendeinem Grund Teil der lokalen Berichterstattung? Sind Sie in etwas Umstrittenes verwickelt? 
• Typ. Nutzen Sie Open-Source-Software? Oder haben Sie in letzter Zeit große Änderungen an Ihrer Infrastruktur vorgenommen?

Wie wirkt sich das Budget auf die Häufigkeit Ihrer Pentests aus?

Überprüfen Sie auch Ihr Budget. Ein Pentest kann kostspielig sein, insbesondere wenn das Team schwerwiegende Probleme findet, die Sie sofort beheben müssen. Wenn Ihr Budget recht knapp ist, müssen Sie möglicherweise die Zeitabstände zwischen den Tests vergrößern, um nicht mehr auszugeben, als Ihnen zur Verfügung steht. 

Was sind die gängigsten Pentesting-Tools?

Die meisten Pentesting-Teams nutzen Programme, um ihre Arbeit zu verbessern. Sie arbeiten schnell, wodurch das Team Schwachstellen finden kann, ohne viel Zeit mit dem Schreiben von Code zu verbringen. 

Zu den bekannten Test-Tools gehören:

• Hashcat 
• Kali
• Metasploit
• Nmap

Jedes Team hat ein Lieblingsprogramm, und einige Blogger:innen auch. Da einige kostenlos sind, lohnt es sich, verschiedene Kombinationen auszuprobieren, bis Sie eine finden, die gut zu Ihrem System und Ihrem Fachwissen passt. 

Gibt es spezialisierte Tools für den Einsatz in Behörden oder Unternehmen?

Wenn Sie im öffentlichen Sektor arbeiten, sind Sie möglicherweise berechtigt, Tools zu nutzen, die von offiziellen Behörden entwickelt wurden. Beispielsweise führt das Büro des Chief Information Officer des Innenministeriums Pentests durch. 

Einige Unternehmen bieten auch Pentesting-Software als Service an. Schließen Sie einen Vertrag mit ihnen ab, und sie erledigen Ihre Arbeit von Anfang bis Ende.

Welche Pentesting-Strategien und -Methoden stehen zur Verfügung?

Während der Planungsphase Ihres Pentests stehen Sie vor einer wichtigen Entscheidung. Welche Art von Beziehung sollten Sie zum Testteam haben? Und wie viel sollten sie wissen, bevor sie beginnen? Beantworten Sie diese Frage, indem Sie eine Methode auswählen. 

Diese Pentesting-Arten werden vom EC-Council anerkannt:

Möglicherweise finden Sie eine Methode, die für Ihr Unternehmen gut funktioniert, und Sie können dasselbe System jedes Mal verwenden, wenn Sie Pentesting durchführen. Es ist jedoch sinnvoll, die Methoden basierend auf Ihren aktuellen Risiken anzupassen.

Wie werden Penetrationstests auf Web-Anwendungs-Firewalls angewendet?

Sie haben eine App für Ihre Kund:innen entwickelt, und diese arbeitet mit Daten, die Sie mit einer digitalen Firewall geschützt haben. Sollte sich das Pentesting auch hierauf erstrecken?

Sollten Sie Ihre WAF in Penetrationstests einbeziehen?

Obwohl Web-Anwendungs-Firewalls (WAF) eine robuste Sicherheit bieten, deuten Studien darauf hin, dass bei etwa 65 % der Unternehmen Angriffe die WAF vollständig umgehen. 

Wenn Sie die WAF aus Ihren Tests ausschließen, könnten Sie ein erhebliches Sicherheitsproblem übersehen. Sie müssen das Problem jedoch vorsichtig angehen.

Wie sollten Sie WAF-Tests angehen?

Um bestimmte Arten von Penetrationstests durchzuführen, bitten Anbieter Sie möglicherweise, die WAF zu deaktivieren. Eine solche Simulation hilft Ihnen zu verstehen, ob die App selbst anfällig für Hackerangriffe ist, wenn das System ausfällt oder Sie es mit unzufriedenen Insider:innen zu tun haben. 

Sie sollten jedoch auch den Anbieter bitten, die WAF zu überprüfen, um sicherzustellen, dass sie wie vorgesehen funktioniert und Schutzmaßnahmen bietet, die schwer zu umgehen sind. 

Mehrere Pentests dieser Art geben Ihnen ein vollständiges Bild der Sicherheitsumgebung Ihrer App, und das könnte für Ihre Nutzer:innen entscheidend sein.

Erhalten Sie die Hilfe, die Sie mit Okta benötigen

Unsere Lösungen können Ihnen dabei helfen, einen effektiven Pentest vorzubereiten. Und wenn Sie den Prozess durchlaufen haben und feststellen, dass es noch viele Lücken zu schließen gibt, können wir Ihnen auch dabei helfen.

Gerne erzählen wir Ihnen mehr darüber, wie unsere Lösungen funktionieren und wie sie Ihnen helfen können. 

Häufig gestellte Fragen

Was ist der Unterschied zwischen Black-Box- und White-Box-Penetrationstests?

Bei Black-Box-Tests haben die Tester:innen keine Vorkenntnisse über Ihr System und der Test ahmt einen realen Angriff sehr genau nach. Beim White-Box-Testing haben Tester:innen vollen Einblick in Ihre Infrastruktur und Protokolle, was eine gründlichere und gezieltere Untersuchung ermöglicht.

Wie oft sollte ein Unternehmen Penetrationstests durchführen?

Es gibt keinen allgemeingültigen Zeitplan – die Häufigkeit hängt von Ihrem Risikoprofil, der Verarbeitung hochwertiger Daten, jüngsten Infrastrukturänderungen und Ihrem regulatorischen Umfeld ab. Budgetbeschränkungen können es auch erforderlich machen, die Zeitabstände zwischen den Tests zu verlängern.

Ist ein Penetrationstest das Gleiche wie ein Schwachstellenscan?

Nein. Ein Pentest ist nicht umfassend und unterscheidet sich von einem vollständigen Schwachstellen-Scan. Das Ziel eines Pentests ist es, zu ermitteln, wie weit ein:e simulierte:r Angreifer:in in Ihre Verteidigung eindringen kann, und nicht, jede mögliche Schwachstelle in Ihrem System zu katalogisieren.

Sollten Web-Anwendungs-Firewalls (WAF) in Penetrationstests einbezogen werden?

Ja. Studien zufolge sind etwa 65 % der Unternehmen von Angriffen betroffen, die ihre Web-Anwendungs-Firewall (WAF) vollständig umgehen. Das Testen sowohl mit als auch ohne aktive WAF liefert Ihnen ein vollständiges Bild der Sicherheitslage Ihrer Anwendung.

Was sollte ein Penetrationstestbericht nach Abschluss des Auftrags enthalten?

Der Bericht sollte sich ausschließlich auf ausgenutzte Schwachstellen konzentrieren – Erkenntnisse, die sowohl anwendbar als auch umsetzbar sind. Berichte über interessante, aber nicht ausnutzbare Entdeckungen gelten als nicht hilfreich und sollten ausgeschlossen werden.

Welche sind die häufigsten Angriffsvektoren, die bei einem Pentest geprüft werden?

Zu den häufigen Angriffsvektoren zählen Cross-Site-Scripting, Brute-Force-Angriffe, Backdoor-Shell-Angriffe, Man-in-the-Middle-Angriffe, Buffer-Overflow-Angriffe, Phishing und Distributed-Denial-of-Service-Angriffe (DDoS-Angriffe).

Referenzen

Ein Leitfaden für die Durchführung eines effektiven Penetrationstest-Programms. (April 2017). CREST. 

PCI Data Security Standard (PCI DSS), Version 1.1. (September 2017). PCI Security Standards Council. 

IT-Sicherheitsleitfaden: Durchführung von Penetrationstest-Übungen. (Juli 2020). GSA. 

10 Tipps für ein erfolgreiches Penetrationstest-Programm. (November 2010). CSO. 

Was ist ein Penetrationstest? EC-Council. 

Warum, wann und wie oft sollten Sie Penetrationstests durchführen? (August 2018). Security Intelligence. 

Wie oft sollte ich einen Penetrationstest planen? (Januar 2017). IT-Governance. 

Startseite. Hashcat. 

Startseite. Kali. 

Startseite. Metasploit. 

Startseite. NMap. 

Penetrationstests. US-Innenministerium. 

Der Status von Web-Anwendungs-Firewalls. (Juli 2019). Ponemon Sullivan Datenschutzbericht.

Pentesting-Phasen 

Ein Hacker kann fast ohne Vorbereitung oder Planung in Aktion treten. Pentesting ist anders. Projekte sollten eine vorhersehbare Abfolge von Schritten durchlaufen, mit viel Zusammenarbeit und Austausch auf dem Weg dorthin. 

Das PCI Security Standards Council definiert drei kritische Pentesting-Phasen:

1. Pre-Engagement 
2. Engagement 
3. Post-Engagement

Wir gehen sie einzeln durch. 

Vorbereitungsphase

Ob Sie ein internes Team einsetzen oder eine:n Berater:in beauftragen, Sie müssen vor Beginn der Arbeit ein Gespräch führen. Sie werden besprechen:

• Der Geltungsbereich. Welche Komponenten sollten im Test enthalten sein? 
• Dokumentation. Wie wird die Arbeit für zukünftige Studien aufgezeichnet?
• Regeln. Wann soll die Arbeit beginnen und enden? Wie weit sollte der Hacker graben, bevor er aufhört? Werden sensible Daten angezeigt?

Ihr Gespräch kann kurz oder lang sein, abhängig von allen Aspekten, die Sie behandeln müssen. Stellen Sie sicher, dass jemand detaillierte Notizen macht, da Sie im weiteren Projektverlauf auf diese Vereinbarung zurückgreifen werden.

KUNDENTREUE

In dieser Phase beginnt Ihr Team, sich eingehend mit den Details Ihres Systems zu befassen und nach Schwachstellen zu suchen. 

Wie Expert:innen erklären, ist ein Pentest nicht allumfassend. Möglicherweise haben Sie Schwachstellen, die während des Prozesses einfach nicht zutage treten. Aber Ihr Hacking-Team sollte hier hart daran arbeiten, Ihre Abwehrmaßnahmen zu durchbrechen. Das Ziel ist es, herauszufinden, wie weit ein Hacker in Ihre Server eindringen kann, ohne von Ihnen entdeckt zu werden. 

Ein Pentesting-Team überprüft in der Regel:

• Anwendungsschichten.
• Netzwerkschichten.
• Segmentierung.

Wenn sensible Daten offengelegt werden, sollte das Team Sie umgehend benachrichtigen. Und alles, was das Team während des Tests beschädigt oder ändert, sollte nach Abschluss der Arbeiten bereinigt werden.

Nachbereitung

Am Ende eines Tests sollten Sie einen Bericht für eine tiefgehende Analyse vorliegen haben. Nutzen Sie dies als Feedback, um Änderungen an Ihren Sicherheitssystemen zu steuern. 

Das Feedback, das Sie erhalten, sollte sich auf ausgenutzte Schwachstellen beziehen. Mit anderen Worten ist es nicht hilfreich, Berichte über die cleveren oder interessanten Dinge zu erhalten, die der Hacker über Ihre Systeme herausgefunden hat. Alles im Bericht sollte sowohl anwendbar als auch nutzbar sein. 

Häufige Angriffsvektoren bei einem Pen-Test 

Ihr Hacking-Team könnte im Verlauf der Arbeit nahezu jeden Teil Ihres Sicherheitssystems untersuchen. Das EC-Council weist jedoch darauf hin, dass sich die meisten auf lediglich sieben verschiedene Angriffsvektoren konzentrieren. 

1. Cross-Site-Scripting: Ein:e Hacker:in gibt sich als Benutzer:in aus, um die Sicherheit einer webbasierten Anwendung zu testen. 
2. Brute-Force-Angriff: Ein Hacker probiert Hunderte oder Tausende von Benutzername/Passwort-Kombinationen aus, um sich Zugriff zu verschaffen. 
3. Backdoor-Shell-Angriff: Ein Hacker verwendet Malware, um sich Zugang zu verschaffen, obwohl dieser Person der Zugriff nicht gestattet sein sollte. 
4. Man-in-the-Middle-Angriff: Der Hacker versucht, Zugriff auf den Serverdatenverkehr zu erlangen, um Pakete zu verändern, bevor sie zugestellt werden. 
5. Buffer-Overflow-Angriff: das Team versucht, einen Puffer mit so vielen Daten zu überfluten, dass er versagt und der Hacker Zugriff auf den Speicher erlangt. 
6. Phishing-Angriff: Der Hacker versucht, Mitarbeiter:innen und Benutzer:innen dazu zu verleiten, sensible Daten preiszugeben, die genutzt werden können, um sich Zugang zu verschaffen. 
7. Distributed Denial of Service: Der Hacker überflutet den Server mit so vielen Anfragen, dass dieser auf legitime Anfragen nicht mehr reagieren kann. 

Jeder dieser Hacks könnte Schäden in Höhe von Hunderttausenden von Dollar verursachen. Wenn Sie diese bei Penetrationstests entdecken, könnten Sie Ihrem Unternehmen sowohl Geld als auch Ärger ersparen.

Zeitplan für Pentesting festlegen 

So wie keine zwei Systeme identisch sind, gleichen sich auch keine zwei Pentesting-Zeitpläne. Ihr Zeitplan sollte individuell angepasst werden, um den spezifischen Zielen und dem regulatorischen Umfeld Ihres Unternehmens gerecht zu werden. 

Wenn Sie aufgrund behördlicher oder lokaler Vorschriften nicht verpflichtet sind, nach einem festgelegten Zeitplan zu testen, erstellen Sie Ihren Zeitplan unter Berücksichtigung von:

• Risiko. Haben Sie sehr verlockende Daten, die fast jeder haben möchte? Würden Sie Ihr Unternehmen als ein hochwertiges Ziel betrachten?
• Schutz. War Ihr Unternehmen aus irgendeinem Grund Teil der lokalen Berichterstattung? Sind Sie in etwas Umstrittenes verwickelt? 
• Typ. Nutzen Sie Open-Source-Software? Oder haben Sie in letzter Zeit große Änderungen an Ihrer Infrastruktur vorgenommen?

Überprüfen Sie auch Ihr Budget. Ein Pentest kann kostspielig sein, insbesondere wenn das Team schwerwiegende Probleme findet, die Sie sofort beheben müssen. Wenn Ihr Budget recht knapp ist, müssen Sie möglicherweise die Zeitabstände zwischen den Tests vergrößern, um nicht mehr auszugeben, als Ihnen zur Verfügung steht. 

Gängige Pentesting-Tools

Die meisten Pentesting-Teams nutzen Programme, um ihre Arbeit zu verbessern. Sie arbeiten schnell, wodurch das Team Schwachstellen finden kann, ohne viel Zeit mit dem Schreiben von Code zu verbringen. 

Zu den bekannten Test-Tools gehören:

• Hashcat 
• Kali
• Metasploit
• Nmap

Jedes Team hat ein Lieblingsprogramm, und einige Blogger:innen auch. Da einige kostenlos sind, lohnt es sich, verschiedene Optionen zu kombinieren und auszuprobieren, bis Sie eine finden, die gut zu Ihrem System und Ihrem Fachwissen passt. 

Wenn Sie im öffentlichen Sektor arbeiten, sind Sie möglicherweise berechtigt, Tools zu nutzen, die von offiziellen Behörden entwickelt wurden. Beispielsweise führt das Büro des Chief Information Officer des Department of the Interior Pentests durch. 

Einige Unternehmen bieten auch Pentesting-Software als Service an. Schließen Sie einen Vertrag mit ihnen ab, und sie erledigen Ihre Arbeit von Anfang bis Ende.

Teststrategien & Methoden 

Während der Planungsphase Ihres Pentests stehen Sie vor einer wichtigen Entscheidung. Welche Art von Beziehung sollten Sie zum Testteam haben? Und wie viel sollten sie wissen, bevor sie beginnen? Beantworten Sie diese Frage, indem Sie eine Methode auswählen. 

Diese Pentesting-Arten werden vom EC-Council anerkannt:

• Black-Box: Ein:e Tester:in weiß vor Beginn der Arbeit nichts über Ihr System. In einigen Fällen wissen die meisten Personen innerhalb der Organisation nicht, dass der Test stattfindet. Diese Form des Testens ist einem Echtzeitangriff sehr ähnlich. 
• White-Box: Ein:e Tester:in weiß alles über Ihr System, einschließlich Ihrer Infrastruktur und Protokolle. Ihr gesamtes Team kann über den Test Bescheid wissen, oder Sie könnten einige Personen von diesen Informationen ausschließen. 
• Grey-Box: Ein:e Tester:in weiß ein wenig, aber nicht alles über Ihr System, bevor die Arbeit beginnt. 
• Gezielt: Ihr IT-Team und designierte Tester:innen arbeiten zusammen, um nur einen Teil Ihres Systems zu überprüfen. 
• Extern: Nur sichtbare Server oder Assets werden in die Tests einbezogen. 
• Intern: In diesem Test sind nur Elemente enthalten, auf die ein:e autorisierte:r Benutzer:in zugreifen kann. 

Möglicherweise finden Sie eine Methode, die für Ihr Unternehmen gut funktioniert, und Sie können dasselbe System jedes Mal verwenden, wenn Sie Pentesting durchführen. Es ist jedoch sinnvoll, die Methoden basierend auf Ihren aktuellen Risiken anzupassen.

Penetrationstests & Web-Anwendungs-Firewalls 

Sie haben eine App für Ihre Kund:innen entwickelt, und diese arbeitet mit Daten, die Sie mit einer digitalen Firewall geschützt haben. Sollte sich das Pentesting auch hierauf erstrecken?

Obwohl Web-Anwendungs-Firewalls (WAF) eine robuste Sicherheit bieten, deuten Studien darauf hin, dass bei etwa 65 % der Unternehmen Angriffe die WAF vollständig umgehen. 

Wenn Sie die WAF aus Ihren Tests ausschließen, könnten Sie ein erhebliches Sicherheitsproblem übersehen. Sie müssen das Problem jedoch vorsichtig angehen.

Um bestimmte Arten von Penetrationstests durchzuführen, bitten Anbieter Sie möglicherweise, die WAF zu deaktivieren. Eine solche Simulation hilft Ihnen zu verstehen, ob die App selbst anfällig für Hackerangriffe ist, wenn das System ausfällt oder Sie es mit unzufriedenen Insider:innen zu tun haben. 

Sie sollten jedoch auch den Anbieter bitten, die WAF zu überprüfen, um sicherzustellen, dass sie wie vorgesehen funktioniert und Schutzmaßnahmen bietet, die schwer zu umgehen sind. 

Mehrere Pentests dieser Art geben Ihnen ein vollständiges Bild der Sicherheitsumgebung Ihrer App, und das könnte für Ihre Nutzer:innen entscheidend sein.

Erhalten Sie die benötigte Hilfe mit Okta 

Unsere Lösungen können Ihnen dabei helfen, einen effektiven Pentest vorzubereiten. Und wenn Sie den Prozess durchlaufen haben und feststellen, dass es noch viele Lücken zu schließen gibt, können wir Ihnen auch dabei helfen.

Gerne erzählen wir Ihnen mehr darüber, wie unsere Lösungen funktionieren und wie sie Ihnen helfen können. 

Referenzen

Ein Leitfaden für die Durchführung eines effektiven Penetrationstest-Programms. (April 2017). CREST. 

PCI Data Security Standard (PCI DSS), Version 1.1. (September 2017). PCI Security Standards Council. 

IT-Sicherheitsleitfaden: Durchführung von Penetrationstest-Übungen. (Juli 2020). GSA. 

10 Tipps für ein erfolgreiches Penetrationstest-Programm. (November 2010). CSO. 

Was ist ein Penetrationstest? EC-Council. 

Warum, wann und wie oft sollten Sie Penetrationstests durchführen? (August 2018). Security Intelligence. 

Wie oft sollte ich einen Penetrationstest planen? (Januar 2017). IT-Governance. 

Startseite. Hashcat. 

Startseite. Kali. 

Startseite. Metasploit. 

Startseite. NMap. 

Penetrationstests. US-Innenministerium. 

Der Status von Web-Anwendungs-Firewalls. (Juli 2019). Ponemon Sullivan Datenschutzbericht.