Was sind Penetrationstests?

Penetrationstests können als legitimer und autorisierter Versuch definiert werden , Sicherheitslücken in Computersystemen zu finden und auszunutzen , um die Sicherheit dieser Systeme zu verbessern. Dieser Prozess umfasst die Erprobung von Sicherheitslücken sowie die Bereitstellung vollständiger Beweise für einen Angriff, der als "Sicherheitslücke" bezeichnet wird. POC (Proof of Concept). Damit soll bestätigt werden, dass die gemeldeten Sicherheitsfehler ausnutzeichnfähig sind. Darüber hinaus enden Penetrationstests mit konkreten Empfehlungen. Sie betreffen die Behebung von Fehlern, die während des Tests erkannt wurden. Zusammenfassend lässt sich zusammenfassen, dass der Prozess dazu beitragen soll, Computer und Netzwerke in Zukunft vor Angriffen zu schützen. Penetrationstests sind auch unter Namen wie pentesty, PT, Hacking , Ethical Hacking, White Hat Hacking bekannt. Es ist wichtig, den Unterschied zwischen Penetrationstests und Risikobewertungen oder Audits zu erkennen. Der Prüfer fragt: "Haben Sie Backups?", während Pentester berichtet: "Wir haben Ihre Backups" ????. Viele Menschen (und Unternehmen) in der Sicherheitsgemeinschaft verwenden diese Definitionen falsch.Die Risikobewertung ist ein Prozess zur Überprüfung von Diensten und Systemen, der sich auf potenzielle Sicherheitsprobleme konzentriert, während Penetrationstests durch betriebliche und reale Angriffe auf Sicherheitsmängelten hinweisen, die tatsächlich existieren. Die Durchführung von Penetrationstests geht über die Bewertung von Schwachstellen hinaus, indem Hackeraktivitäten simuliert und vorgefertigte Angriffsvektoren bereitgestellt werden. Penetrationstests lassen sich unter Berücksichtigung folgender Faktoren in mehrere Kategorien einteilen:

• das Niveau der vorhandenen Kenntnisse;
• Umfang des Tests;
• Zusammensetzung des Testteams;
• die Art und Weise der Durchführung der Tests;
• Standort der Tests;
• Standort im SDLC-Zyklus (System Development Life Cycle);

Im Folgenden wird die Einstufung der Penetrationstests nach den oben genannten Kriterien dargestellt: a) Kenntnisstand:

• blackbox (Blackbox) – eine Methode, bei der der Tester über eine minimale Menge an Informationen über das angegriffene System verfügt. Dies ist in der Regel nur eine Information über den Umfang der Tests. Dies soll einen Hackerangriff von außen simulieren (der Angreifer versucht, in ein System einzubrechen, von dem er nichts weiß);
• greybox (graue Box) – eine Methode, bei der der Tester ein gewisses Maß an Systemkenntnissen besitzt, aber keinen Zugriff auf die Quellcodes hat. Es verfügt in der Regel über Einblicke in die Datenstruktur, z. B. durch ein Benutzerkonto mit geringen Berechtigungen. Dieser Angriff zielt darauf ab, einen Hackerangriff innerhalb des Unternehmens zu simulieren (der Angreifer ist ein Mitarbeiter des Unternehmens oder hat ein Konto im System);
• whitebox (white box) – eine Methode, bei der der Tester vollständige Einblicke in die technische Dokumentation hat. Dieser Test zielt hauptsächlich darauf ab, den Quellcode zu überprüfen und Sicherheitsfehler darin zu lokalisieren.

b) Prüfumfang:

• invasive Tests, bei denen ein echter Angriff simuliert wird, z. B. Datenänderungen oder das Blockieren des Dienstes. Sie beeinträchtigen somit das Funktionieren des Systems;
• nicht-invasive Tests, die das Gegenteil von invasiven Tests sind, so dass sie das Funktionieren des Systems nicht beeinträchtigen. Sie bestehen darin, nach Schwachstellen zu suchen, ohne sie praktisch zu überprüfen, z. B. durch Überprüfung des Quellcodes.

c) Zusammensetzung des Testteams:

• Prüfungen durch interne Mitarbeiter des Unternehmens;
• Prüfungen durch ein externes Unternehmen;
• Untersuchungen durch gemischte Zusammensetzung, d. h. interne Mitarbeiter des Unternehmens und externe Mitarbeiter des Unternehmens;

d) Die Art und Weise der Durchführung der Prüfungen:

• Sachverständigentests, manuell, d. h. manuell von einem qualifizierten Fachmann;
• automatische Tests, die mit dafür vorgesehenen Werkzeugen durchgeführt werden, z. B. Netzscanner, Quellcodeanalysegeräte;
• gemischte Prüfungen, die sowohl manuelle als auch automatische Prüfungen umfassen;

e) Teststandorte:

• interne Tests beinhalten die Simulation eines unternehmensinternen Angriffs unter Umgehung von Sicherheitsvorkehrungen wie Firewalls, meist mit intranets;
• externe Tests, bestehen aus Simulationen für Angriffe von außen, z. B. über das Internet. In diesem Fall hat der Angreifer auf dem Weg, Firewall-Mechanismen oder Anwendungsfilter zu überwinden;

f) Standort im SDLC-Zyklus (System Development Life Cycle):

• Tests, die während der Softwareentwicklung durchgeführt werden. so genannte Testgetriebene Entwicklung;
• Annahmetests auf bereits erstellter Software.