In Zeiten wachsender Cyber-Kriminalität ist es unverzichtbar, das Sicherheitsniveau der eigenen Infrastruktur realistisch einzuschätzen. [...]
Intensiv-Check schafft Sicherheit
Mit welchem Aufwand können Angreifer zum Beispiel über ein Webportal in die Backend-Systeme eindringen? Wie gut sind Kunden- und Geschäftsdaten geschützt? Um diese Fragen zu beantworten, müssen Systeme heute regelmäßig und sachgerecht überprüft werden. Bei einem Sicherheitstest führen Experten eine Bestandsaufnahme durch und durchleuchten systematisch den aktuellen Sicherheitsstand eines IT-Systems.
Sicherheitsstandards erfüllen
Für ein Risikomanagement, das ein realistisches Bild der System- und Anwendungssicherheit zeichnen will, sind Sicherheitstests unverzichtbar. Auch öffentliche Standards und Normen schreiben regelmäßige Prüfungen und die Dokumentation von Schwachstellen vor.
Cyber-Angriff im Kundenauftrag
Wer wissen will, wie stabil und sicher seine Systeme sind, muss letztlich die Methoden der Angreifer anwenden. Deshalb führt T-Systems mit sogenannten Penetrationtests „Cyber-Attacken im Kundenauftrag“ durch. Indem sich Sicherheitsexperten in die Rolle von Angreifern versetzen und deren Denkweisen und Methoden übernehmen, können sie technische Schwachstellen am zuverlässigsten identifizieren, überprüfen und gezielte Gegenmaßnahmen ableiten.
Neutraler Blick von extern
T-Systems verfügt als ICT-Dienstleister über die Expertise und die notwendige Unabhängigkeit, um den Sicherheitszustand der Systeme und Anwendungen kritisch zu analysieren. Haben Unternehmen bereits Tests und Prüfungen durchgeführt, baut T-Systems auf diesen Ergebnissen auf. Es wird großer Wert darauf gelegt, dass die Durchführung der Penetrationtests effizient und in klarer Abstimmung mit den Betriebsprozessen des Kunden erfolgt.
Manuelle und Semiautomatische Prüfung
Bei den Tests wenden die Experten eine Kombination aus automatisierten Werkzeugen und manuellen Tests an, um ein Optimum an Effizienz und Aussagekraft zu erzielen. Dabei orientiert sich T-Systems an aktuellen Best Practices für Penetrationtests. Für Webanwendungen sind dies zum Beispiel OWASP (Open Web Application Security Project) und für Systeme und Netze OSSTMM (Open Source Security Testing Methodology Manual). Kunden profitieren automatisch vom aktuellen Stand der Technik und von Innovationen auf diesem Gebiet.
Experten für alle technischen Details
Je nach Testszenario, Systemumgebung oder Art der technischen Schnittstellen sind bei Penetrationtests unterschiedliche Fähigkeiten und Erfahrungen gefragt. T-Systems verfügt über Experten für diverse Spezialfälle. Zum Beispiel unterschiedliche Testarten: Während Black-Box-Tests ausschließlich öffentlich verfügbare Informationen als Ausgangspunkt nehmen, greifen White-Box-Tests auch auf Systeminterna wie Netzpläne zurück. Darüber hinaus unterscheiden Penetrationtester zwischen netz- und anwendungsbasierten Checks. Im ersten Fall sucht der Tester nach Systemen im vereinbarten Netz. Er stellt fest, welche Betriebssysteme und Serversoftware zum Einsatz kommen und dokumentiert, wo es Schwachstellen gibt. Im zweiten Fall ist das Ziel, etwa in einer webbasierten Anwendung Fehler zu identifizieren, die zu einer Gefährdung von Vertraulichkeit, Integrität oder Verfügbarkeit führen können. Dies beginnt bei Angriffstechniken wie Cross Site Scripting, SQL-Injection oder Privilege-Escalation und umfasst ebenso Prüfung der realisierten Anwendungslogik. In speziellen Bereichen wie Cloud Computing, Mobile Communications und Unified Communication & Collaboration verfügen die Experten von T-Systems über besondere Kompetenzen.
Klassifikation
Anhand welcher Kriterien kann man einen Penetrationstest beschreiben, bzw. was unterscheidet einen Penetrationstest von einem anderen Penetrationstest? Die Unterscheidungsmerkmale wie Umfang der geprüften Systeme, die Vorsicht bzw. Aggressivität beim Testen etc., die einen bestimmten Penetrationstest charakterisieren, müssen an die Zielsetzung des Tests angepasst werden, um eine effektive und effiziente Durchführung mit kalkuliertem Risiko sicherzustellen. In Abbildung 1 (siehe Grafik auf der folgenden Seite) ist eine Klassifikation von möglichen Penetrationstests dargestellt. Auf der linken Seite sind sechs Kriterien aufgelistet, nach denen man Penetrationstests unterscheiden kann und auf der rechten Seite sind die unterschiedlichen Werte für die Kriterien in einem kompakten Baumdiagramm zusammengefasst.
Je nach Zielsetzung des Auftraggebers muss ein geeigneter Penetrationstest anhand der genannten Kriterien vereinbart werden. Dabei ist zu beachten, dass nicht alle möglichen Kombinationen sinnvolle Tests darstellen, obwohl bei der Klassifikation großer Wert auf die klare Trennung der Kriterien gelegt wurde. Ein aggressiver Test wird meistens sehr schnell erkannt und ist daher nicht optimal mit einer verdeckten Vorgehensweise kombinierbar. Analog ist ein offensichtlicher Penetrationstest nicht geeignet, um mittels Social-Engineering-Techniken z. B. vertrauliche Informationen von den vorgewarnten Mitarbeitern zu erlangen.
Weitere Informationen unter: www.t-systems.at oder blog.t-systems.at
Be the first to comment