Auch wenn jeder Penetrationstest eine individuelle Leistungserbringung darstellt, so kennzeichnet sich jede Durchführung durch Ihre Systematik und Methodik aus. Die von uns angewandte Methodik setzt sich aus folgenden Bestandteilen zusammen.

1. Kick-off

   Der Kick-off findet je nach Komplexität des Penetrationstests einen Monat bis eine Woche vor dem vereinbarten Durchführungszeitraum statt. In diesem sollen Roadblocks und Absprachen für die erfolgreiche Durchführung evaluiert werden. Vonseiten der AWARE7 GmbH nehmen an diesem Termin die Penetrationstester sowie das Projektmanagement teil. Am Kick-off Termin sollten die folgenden Stakeholder ihrerseits teilnehmen:
   – Alle relevanten Risiko- oder Projekteigentümer
   – Informationssicherheitsbeauftragte
   – Technisches Personal mit Kenntnissen über das Zielsystem
   
   

2. Recon

   Unter Reconnaissance, Recon oder auch Aufklärung versteht man die Arbeit der Informationsbeschaffung, bevor ein echter Angriff durchgeführt wird. Die Idee ist, so viele Informationen wie möglich über das Ziel zu sammeln. Um dies zu erreichen, werden viele verschiedene, öffentlich zugängliche Informationsquellen genutzt. Die extrahierten Informationen erlauben oft schon einen detaillierten Einblick in die betroffenen Systeme. 
   
   Bei einem Penetrationstest des Active Directories bedeutet dies beispielsweise, dass in einem ersten Schritt alle Systeme, welche Teil des Active Directories sind, enumeriert werden. Die Identifikation der Systeme wird parallel zur Identifikation der Netzwerkdienste mit gängigen Netzwerkscannern, wie nmap oder massscan, durchgeführt.
   
   

3. Enumeration und Vulnerability Identification

   In der Enumerationphase wird von einer passiven Informationssammlung, wie in der Reconphase, in eine aktive übergegangen und die Informationssammlung somit weiter angereichert. Zusätzlich werden die Informationen aus der Reconphase genutzt, um potenzielle Angriffsvektoren zu identifizieren. In der Enumerationphase werden automatisierte Scans gestartet und ein Vulnerability Assessment gegen die entsprechenden Systeme durchgeführt. Während der Enumerationphase würde im Kontext eines Active Directory Penetrationstests, zum Beispiel eine Untersuchung der Active Directory Konfiguration stattfinden. So würden die Pentester Informationen über Gruppen, Nutzer, GPOs (Group Policy Object), Richtlinien und Shares sammeln.
   
   

4. Exploitation

   In der Exploitation Phase versuchen die Penetrationstester Sicherheitsschwachstellen aktiv auszunutzen. Exploits werden entwickelt, um z. B. sensible Informationen zu sammeln oder um es den Pentestern zu ermöglichen, ein System zu kompromittieren und sich darauf zu manifestieren. Bei neuen Zielen werden die Aufklärungs- und Enumerationsphasen erneut durchlaufen, um Informationen über diese neuen Systeme zu sammeln und diese auch auszunutzen. Es werden zum Beispiel im Rahmen eines Active Directory Penetrationstests auf zuvor gesammelte Nutzeraccounts Passwort Angriffe ausgeführt, um diese Accounts zu übernehmen. Zusätzlich werden auch viele weitere verschiedene Angriffe wie zum Beispiel Relay Angriffe durchgeführt.
   
   

5. Post Exploitation 

   In der Post Exploitation Phase werden in Zusammenarbeit mit den jeweiligen technischen Ansprechpartnern und Administratoren die Änderungen an Systemen, Prozessen und Benutzern rückgängig gemacht. Da bei einem Penetrationstest nicht ausgeschlossen werden kann, dass Konfigurationen von Systemen manipuliert werden oder Exploit-Skripte platziert werden, ist es wichtig sicherzustellen, dass diese nach dem Test wieder gelöscht und zurückgesetzt werden.
   
   

6. Report

   Die Dokumentation ist ein wesentlicher Bestandteil jedes Penetrationstests. Während des Penetrationstests werden alle Schritte, die zu einem erfolgreichen Angriff führen, ausführlich dokumentiert. So ist sichergestellt, dass nach dem Test alles im Detail nachvollzogen werden kann. Am Ende des Penetrationstests dient diese Dokumentation als Grundlage für einen individuellen Bericht, der die Testergebnisse sowohl für die technische Administration als auch für das Management nachvollziehbar macht. Handlungsempfehlungen sind ein wichtiger Bestandteil der Dokumentation.