+49 5251 1652-0
Welchen Schaden könnte ein Hacker bei Ihnen anrichten? Bietet Ihre Firewall-Architektur ausreichend Schutz? Welche Ihrer Webanwendungen ermöglicht mehr als Sie glauben? Welche Information geben Ihre Mitarbeiter „freiwillig“ an Unbefugte?
In einem funktionierenden Informationssicherheitsmanagementsystem (ISMS) müssen Sie die Wirksamkeit der von Ihnen umgesetzten Maßnahmen durch regelmäßige Audits – und damit auch Penetrationstests – überprüfen. Die klassischen Einfallstore sind in unzureichend gepflegten Netzwerk- und Betriebssystemkonfigurationen zu finden, während Webanwendungen (oftmals mit Zugriff auf interne Datenbanken) ein hohes Schadenspotenzial aufweisen. Dagegen sind Mitarbeiter völlig ohne Hackerwissen „angreifbar“, sie können unter Umständen sehr sensible Informationen z. B. aus Hilfsbereitschaft und Unwissenheit weitergeben. Damit stehen Sie vor der Herausforderung, diese auftretenden Risiken einzuschätzen und passende Gegenmaßnahmen zu ergreifen.
Wir verstehen uns als „Ethical Hacker“ und nutzen die Tools und Methoden wie „bösartige“ Hacker, nur mit dem Ziel, die gefundenen Lücken zu schließen. Unsere Penetrationstests gibt es in verschiedenen Varianten und Tiefegraden, sie werden permanent weiterentwickelt und basieren auf nationalen und internationalen Standards. Die Qualität unserer Prozesse ist dabei nach DIN EN ISO 9001:2008 zertifiziert.
Die Auswahl der sinnvollen Module stimmen wir im Vorfeld mit Ihnen ab, auch die Erstellung eines Auditkonzepts zur Planung von derartigen Tests ist Teil unserer Leistungen. Darin werden die durchzuführenden Tests in ihrem Umfang und Detailgrad im Vorfeld geplant, Anforderungen an die Auditoren gestellt und Erwartungen an den Auditbericht definiert. Wir berücksichtigen dabei auch die Anforderungen spezieller Standards, wie z. Bsp. PCI DSS für Zahlungssysteme oder die des Kraftfahrtbundesamtes (KBA) für die Kfz-Zulassung (iKfz MSADP). Somit sind die Penetrationstests Bestandteil Ihres ISMS nach ISO27001:2013 bzw. BSI und Teil Ihrer internen Audits.
Als Ergebnis erhalten Sie einen umfangreichen und aussagekräftigen Auditbericht mit einer Einschätzung der Risiken und Handlungsempfehlungen. Diese Risikobewertung ist ein wichtiger Bestandteil unserer Dokumentation, dabei werden international anerkannte Datenbanken (Risk Scores) zugrunde gelegt. Wir erklären Ihnen auch, wie wir zu diesen Ergebnissen gelangt sind. Die Maßnahmenempfehlungen der relevanten BSI-Bausteine werden hinsichtlich ihres Umsetzungsstatus bewertet und dokumentiert. Die Ergebnisse unseres Penetrationstests können damit unmittelbar in ein Informationssicherheitsmanagementsystem (BSI oder ISO27001) einfließen.
Auf Wunsch überprüfen wir die Wirksamkeit der getroffenen Gegenmaßnahmen nach deren Umsetzung bzw. in regelmäßigen Abständen. Damit stellen wir sicher, dass auch bei Änderungen Ihrer IT-Landschaft die Sicherheit gewährleistet wird.
Dabei nutzen wir eine Reihe unterschiedlichster OpenSource und kommerzieller Tools bei unseren Penetrations-Tests, wie zum Beispiel:
Weitere Tools und Methoden setzen wir in Abhängigkeit der jeweiligen Anforderungen ein (z.B. beim Thema Social Engineering).
Webanwendungen sind mittlerweile ein fester Bestandteil in jeder IT-Umgebung. Da diese Anwendungen oftmals weitreichende Berechtigungen auf interne Informationen besitzen, eröffnen sie den Unternehmen eine neue Welt, die jedoch nicht ohne Gefahren ist. Diese Gefahren entstehen durch Angreifer, die bekannte Schwachstellen in Webanwendungen ausnutzen und sich damit Zugriff auf interne Ressourcen (zum Beispiel Datenbanken) ermöglichen.
Wir führen unsere Audits basierend auf etablierten Standards durch:
Prüfung von Web-Anwendungen (Webshops, Datawarehouse, CRM, ERP, Webportale etc.) aus Sicht externer Angreifer:
Nicht aktualisierte Content Management Systeme (CMS) sind ein typisches Beispiel für derartige Einfallstore. Sie bieten eine einfache und elegante Lösung, eine Webpräsenz zu entwickeln und redaktionell zu pflegen. Oft wird jedoch die Sicherheit zu Gunsten der einfachen Installation und Konfiguration vernachlässigt, da sich auch IT-ferne Abteilungen wie z.B. das Marketing mit der Pflege der Webpräsenz beschäftigen müssen.
Wir überprüfen u.a.
Penetrationstest von Infrastruktur- und Serverkomponenten
Aktuelle Zahlen weisen darauf hin, dass die Zahl der Angriffe über das Internet stetig zunimmt. Ziel sind dabei zum Einen die Komponenten Ihres Internetzugangs, aber auch die internen Netzwerk- und Serversysteme.
Überprüfung von Arbeitsplätzen:
Wir versuchen, Angriffe gegen das Netzwerk mittels eines Standard-Arbeitsplatzes durchzuführen. Zusätzlich prüfen und dokumentieren wir die sichere Konfiguration des Arbeitsplatzes anhand von Checklisten (ausgehend von den passenden BSI-Bausteinen der Grundschutzkataloge). Damit lassen sich u.a. die Folgen von Diebstahl von Endgeräten besser abschätzen.
Unsere Durchführung basiert auf etablierten Standards:
Code Review
Um Informationssicherheit bereits in der Softwareentwicklung – insbesondere bei der Entwicklung von Apps für Mobile Devices (Android, iOS, BlackBerry, Windows Phone) – zu berücksichtigen, sollten regelmäßige Code Reviews Bestandteil eines Entwicklungsprozesses sein. Der entwickelte Code kann über einen gesicherten Cloud-Service bereitgestellt werden. Innerhalb von 24 Stunden wird der Code
automatisch und von Software-Entwicklern analysiert und ein Ergebnisbericht zur Verfügung gestellt. Der Bericht wird von Entwicklern vor der Rückgabe geprüft und bearbeitet.
Audit des Sicherheitsbewusstseins der Mitarbeiter
Ohne jegliches technisches Hackerwissen lässt sich das „HumanOS“ – die Mitarbeiter – „angreifen“. Gerade im Rahmen von Wirtschaftsspionage erschleichen sich die Täter häufig den Zugang zu Gebäuden und Firmenrechnern oder sie befragen Mitarbeiter um an die gewünschten Informationen zu gelangen. Im Rahmen unserer Social Engineering – Projekte auditieren wir das vorhandene Sicherheitsbewusstsein bei den Mitarbeitern und die Einhaltung der Sicherheitsrichtlinien. Die – vollständig anonymisierten – Ergebnisse sind ideale Bestandteile einer Security Awareness Kampagne.
Nutzen Sie die Präsentation der (vollständig anonymisierten) Ergebnisse vor den Mitarbeitern bzw. der Leitungsebene, um das Sicherheitsbewusstsein zu erhöhen und an die Einhaltung von Vorgaben und Richtlinien zu appellieren.
Aufdeckung vorhandener Schwachstellen
Fordern Sie unseren kostenlosen Beispielbericht an: wir zeigen Ihnen, wie wir unseren Auditbericht aufbauen und exemplarisch, was er beinhaltet. Damit erhalten Sie einen Einblick in die Aussagekraft unserer Dokumentation und können unsere Arbeit bereits im Vorfeld einschätzen!
Sprechen Sie uns an, wir empfehlen Ihnen die für Sie sinnvollen Penetrationstest - Module und erklären diese in unserer kostenlosen Leistungsbeschreibung.
