Jetzt unser Whitepaper zur Active Directory Härtung kostenfrei herunterladen!
Das Active Directory ist die Achillesferse der IT-Infrastruktur.
Wir geben Ihnen 7 Hinweise, Empfehlungen sowie Tipps zur Härtung des Systems.
Wofür benötige ich einen Penetrationstest? (inkl. Checkliste)
Die Frage, wozu ein Penetrationstest dient, stellen sich glücklicherweise inzwischen sehr viele Entscheidungsträger. Glücklicherweise deshalb, weil das Thema der Penetrationstest ein äußerst essenzielles ist, um die grundlegende IT-Sicherheit im jeweiligen Unternehmen zu manifestieren und somit entsprechend fest in der DNA der Organisation zu verankern.
Die Antwort auf die Frage, wozu ein Penetrationstest dient, ist dabei so simpel wie schnell möglich. Hackerangriffe sind bereits seit Langem eine ernst zu nehmende Gefahr, und zwar für jedes digital agierende Unternehmen. Egal, ob kleines oder mittleres Unternehmen, sie alle werden mal mehr und mal weniger durchdacht angegriffen. Meist mittels Phishing, kombiniert mit einer cleveren Ransomware.
All das gehört längst zum Alltag moderner Unternehmen und somit zu den Aufgaben, mit denen sich die hauseigene IT zwangsläufig beschäftigen muss. Allein schon, um auf den Fall der Fälle vorbeireitet zu sein, aber auch, um mittels Security Awareness für mehr Bewusstsein unter den Mitarbeitern und in Bezug auf die entsprechenden Attacken zu sorgen.
Häufig gelangen Angreifer allerdings auch über einfache Fehlkonfigurationen oder unterschätzte Sicherheitslücken in die Systeme und verschaffen sich dort dann blitzschnell einen vollständigen Zugang zum System. Einmal in die IT-Infrastruktur eingedrungen, stehen ihnen nun alle Möglichkeiten offen, unentdeckt für eine große Menge an Schaden zu sorgen. Genau diese Lücken, die Hackern Zugang gewähren, soll ein Penetrationstest in regelmäßigen Abständen aufspüren und infolgedessen dann erfolgreich schließen.
Doch schauen wir uns den Penetrationstest noch einmal ein wenig genauer an. Außerdem haben wir eine Checkliste für Sie erstellt, die als ideale Hilfestellung dient, wenn Sie sich bislang nicht allzu umfangreich mit dem Thema der Pentests beschäftigt haben.
Was genau ist ein Penetrationstest überhaupt?
Bei einem Penetrationstest versuchen sogenannte White-Hat-Hacker in die Systeme Ihres Unternehmens einzudringen. Bei den White-Hat-Hackern handelt es sich um ethische Hacker, die somit für sinnvolle und gute Zwecke hacken. Im Gegensatz zu den Black-Hat-Hackern sind diese obendrein von den angegriffenen Unternehmen gezielt dazu beauftragt worden, die jeweiligen IT-Systeme kontrolliert anzugreifen, um so mögliche Angriffsstellen zu finden, die auch bösartige Hacker entdecken könnten.
Der Penetrationstest wird dabei entweder auf einer exakten Kopie der IT-Systeme durchgeführt oder aber am Live-System innerhalb der IT-Infrastruktur vollzogen. Am sinnvollsten ist es meistens, den Penetrationstest am Live-System stattfinden zu lassen, um auch Schwächen in der Reaktion seitens der internen IT gezielt aufdecken zu können. Oder aber, um ein realistisches Abbild unter normaler Last zu erhalten, schließlich findet der Pentest nur so unter authentischen Bedingungen statt.
Läuft der Test am Live-System ab, fällt er in aller Regel etwas harmloser aus als üblich. So wird meist auf besonders schwerwiegende Angriffe verzichtet, die unter Umständen nur dazu dienen, ein System in die Knie zu zwingen oder aber nachhaltigen Schaden an diesem anzurichten. Speziell dann, wenn Systeme überlastet oder beschädigt werden, können sie nämlich anfällig für weitere Schwachstellen werden, weshalb auch diese Angriffe mitunter berücksichtigt werden müssen.
Wozu dient die Penetrationstest Checkliste?
Unsere Penetrationstest Checkliste hilft Ihnen dabei, sich mit dem Thema der Penetrationstests erst einmal grundlegend auseinanderzusetzen. Sie können die Checkliste daher optimal nutzen, um sich auf potenzielle Fragen vorzubereiten, die typischerweise in einem Erstgespräch auftauchen. Natürlich hilft Ihnen die Liste ebenso dabei, mögliche Fragen bereits vorab auszumachen, die Sie persönlich besonders interessieren. Das ist immer dann sinnvoll, wenn es Ihnen um einen besonders umfangreichen Penetrationstest in Ihrem Unternehmen geht und Sie am Ende Antworten auf all Ihre Fragen erhalten möchten.
Im Idealfall werden vorab bereits alle operativen und geschäftsspezifischen Risiken ermittelt, die während des Pentests eine besonders wichtige Rolle spielen. Denn auch wenn der Penetrationstest so ziemlich alles prüfen kann, ergibt es meist Sinn, sich lediglich auf die realistischen Risiken Ihres Unternehmens zu konzentrieren und diese währenddessen mit gesonderter Wahrnehmung zu betrachten.
Um den Test selbst brauchen Sie sich hingegen keine Gedanken oder Sorgen zu machen. Wir geben Ihnen dafür unser Qualitätsversprechen, dass alle von uns durchgeführten Penetrationstests von menschlichen Sicherheitsexperten und Analysten betreut werden. Nur so können wir schließlich sicherstellen, dass Sicherheitslücken nicht nur entdeckt, sondern IT-Systeme auch vollumfänglich getestet werden, um darauf aufbauend dann weitere Schwachstellen zu entlarven.
Unsere kostenlose Penetrationstest Checkliste
Unsere Checkliste für Penetrationstests teilt den Ablauf des Pentests grob in sieben Schritte auf. Einige dieser Schritte, die in der Penetrationstests Checkliste enthalten sind, lauten wie folgt:
- Vorbereitungen treffen
- Monitoring der Systeme
- Bewertung von Schwachstellen
Was genau sich hinter den einzelnen Schritten verbirgt und welche weiteren Schritte es gibt, erfahren Sie in unser umfangreichen und damit vollständigen Penetrationstest Checkliste, die wir Ihnen hier zum kostenlosen Download bereitstellen. Schauen Sie also gleich einmal selbst hinein und verschaffen Sie sich einen Überblick der derzeitigen Lage.
Verschiedene Arten von Penetrationstests
Schlussendlich gibt es verschiedene Arten oder auch Varianten von Penetrationstests. Diese unterscheiden sich in erster Linie in der Art und Weise, wie sie vollzogen werden. Es gibt unter anderem die sogenannten Black Box, White Box und Grey Box Penetrationstests. Diese Begriffe haben sich allgemein etabliert, um die unterschiedlichen Stufen der Tests klar zu beschreiben.
Während der Black Box Pentest also meint, dass der Penetrationstester ohne Wissen über die IT-Infrastruktur angreift, also auch erst IPs und ähnliches eigenständig ermitteln muss, liegen beim White Box Penetrationstest all diese Informationen bereits vollständig vor. Grey Box ist das Mittelding der beiden Varianten, bei dem bestimmte Aspekte zuvor genannt werden, andere jedoch weiterhin unbekannt bleiben.
Ziel bei einem Black Box Pentest ist es zu prüfen, was Angreifer herausfinden können, wie lange sie dafür benötigen und wie schwierig es ist an die gewünschten Informationen zu gelangen. Während der White Box Penetrationstest in erster Linie dazu dient, das bekannte System sehr gezielt und mit allen zur Verfügung stehenden Mitteln anzugreifen, um Sicherheitslücken und Schwachstellen möglichst vollumfänglich feststellen zu können.
Zu guter Letzt gibt es dann noch die Red Teams, die nicht nur die IT-Systeme, sondern auch das IT-Team selbst sowie die Reaktionsfähigkeit von Unternehmen testen. Streng genommen ist so etwas kein Pentest mehr, doch das Red Teaming stellt diesbezüglich etwas sehr ähnliches dar und wird meist zusammen mit den Penetrationstests genannt. So befassen sich beide mit kontrollierten und ganzheitlichen Angriffen, sie testen dies nur mehr oder weniger umfangreich.
Am Ende gibt es dann auch noch die IoT Penetrationstests, Hack-Boxen für Pentests aus der Ferne und noch einiges mehr. Wie genau ein Penetrationstest ausfällt, ist also weniger streng vorgeben, als vielmehr individuell festgelegt. Zudem ist es überaus wichtig, dass Pentests entsprechend angepasst an das Unternehmen vollzogen werden, um den Bedingungen im jeweiligen IT-System bestmöglich gerecht zu werden, statt nur vorgefertigte Parameter abzuarbeiten und automatische Pentest-Tools einzusetzen. Im Grunde unterscheidet sich hier auch die Qualität der angebotenen Pentests. Die seriösen Anbieter gehen händisch und mittels Sicherheitsexperten vor, während die unseriösen automatische Tools von ungeschultem Personal durchlaufen lassen.
Erkennen Sie zuverlässig Phishing E-Mails?
Jetzt das AWARE7 Phishing Quiz absolvieren
und das eigene Wissen überprüfen!
Penetrationstests der AWARE7 GmbH
Auch wir sind spezialisiert auf umfangreiche und stark individualisierte Penetrationstests. Sollte Ihr Unternehmen also akuten Bedarf haben und Probleme innerhalb der IT-Infrastruktur aufdecken wollen, wäre es gut, wenn Sie sich zeitnah mit uns in Verbindung setzten. Da Penetrationstests, wie eben bereits erwähnt, immer entsprechend angepasst und individuell geplant werden müssen, bedarf es außerdem einem kostenlosen Erstgespräch und einer umfangreichen Absprache bezüglich des genauen Ablaufs.
Dort bereden wir dann nicht nur, wie ein möglicher Pentest bei Ihnen im Unternehmen aussehen könnte, sondern beratschlagen ebenfalls, in welchem Umfang dieser tatsächlich stattfinden wird. Dabei kommt es nicht nur auf das Budget, sondern auch schlicht und ergreifend auf die Zeit und die Sicherheitsanforderungen an, die ihr Unternehmen diesbezüglich vorzuweisen hat. Penetrationstests sind also in der Regel kein Angebot von der Stange.
Sind die Planungen erst einmal abgeschlossen, kann es dann auch schon losgehen. Mit erfahrenen Penetrationstestern, Analysten und Sicherheitsexperten, machen wir uns an die Arbeit. Schwachstellen gibt es immer, doch diese zu finden und Maßnahmen zur Schließung einzuleiten, ist unser Job und unsere Leidenschaft. Treten Sie also gerne mit uns in Kontakt, für weitere Informationen diesbezüglich.
Hat Ihnen der Beitrag gefallen? Gerne benachrichtigen wir Sie, wenn wir einen neuen Beitrag veröffentlicht haben. Tragen Sie jetzt Ihre E-Mail-Adresse ein. Für Sie entstehen keine Kosten.
