PENETRATIONSTEST öffentliche Infrastruktur

Schutz & Härtung öffentlich erreichbarer (externer)Systeme

Öffentlich über das Internet erreichbare Systeme und IP-Bereiche sind permanent den Risiken eines Angriffs ausgesetzt. Daher sollten diese Systeme besonders vor solchen geschützt und gehärtet sein. Durch einen Penetrationstest werden die eingesetzten Systeme und die exponierten Dienste identifiziert sowie mögliche Angriffsvektoren und -methoden ermittelt.

Pentest-Kompetenz

  • zertifizierte Ethical Hacker (CEH / OSCP) und IT-Forensiker (IHK)
  • Durchführung von über 300 Pentest-Projekten pro Jahr
  • Pentests nach BSI-Standard​

Kurzfristige Umsetzung

  • Kickoff innerhalb weniger Tage nach Auftragserteilung
  • Pentest-Umsetzung meist innerhalb von 2-4 Wochen
  • Zuverlässige Einhaltung von Deadlines

Transparente Preise

  • Standard-Pentests zu Festpreisen
  • individuelle Pentests mit voller Kostenkontrolle / Budget-Obergrenzen
  • Angebote aus eigenständigen Modulen, die einzeln beauftragt werden können

Sofort Pentest Angebot per E-Mail als PDf erhalten

Ablauf & Ergebnis

  1. Terminplanung
  2. Besprechung des Vorgehens und der Rahmenbedingungen
  3. Festlegung der Zielsysteme (IP-Adressen, Domains, Hostnamen)
  1. Phishing (Optional)
  2. Information Gathering
    – Abgleich der IP-Bereiche mit der Whois-Datenbank
    – Überprüfung auf Passwort-Leaks
    – Überprüfung der Metadaten verfügbarer Dokumente
    – Enumeration von Subdomains
  3. Portscan zur Identifizierung der Dienste
  4. Automatisierter Schwachstellenscan der identifizierten Dienste
  5. Manuelle Überprüfung der identifizierten Dienste

Für die Anwendungen erfolgt eine Überprüfung auf bereits bekannte und öffentliche Schwachstellen. Zusätzlich werden Komponenten überprüft, die zu einer Übernahme des Servers führen könnten (z.B. die Möglichkeit des Datei-Uploads). Die Überprüfung ist nicht mit einem Webpenetrationstest gleichzusetzen,
da hier eine andere Testmethodik zur Anwendung kommt und ein größerer Aufwand entsteht.

  • Automatisierter Schwachstellenscan von Webservern
  • Enumeration von Verzeichnissen
  • Wird ein Login mitgeliefert oder sollte eine Registrierung möglich sein, erfolgt ebenfalls eine Überprüfung der geschützten Funktionen

Exploits, die Auswirkungen auf die Verfügbarkeit des Dienstes haben könnten, werden nur in Absprache und auf ausdrücklichen Wunsch des Kunden getestet.

Dokumentation
Beschreibung der gefundenen Schwachstellen und Behebungsmaßnahmen sowohl für das Management als auch für die technisch Verantwortlichen. Die Resultate werden anhand ihres Schweregrads kategorisiert und priorisiert.

Netzwerkinfrastruktur Penetrationstests

Was ist der Unterschied zwischen externen und internen Pentests?

Ein externer Penetrationstest konzentriert sich auf die Bewertung der Sicherheit der öffentlich zugänglichen digitalen Assets eines Unternehmens, wie Websites, Webanwendungen, E-Mail- und Domain-Name-Server (DNS), aus der Perspektive eines externen Angreifers. Das Hauptziel ist es, Sicherheitslücken zu finden, die ein Angreifer ausnutzen könnte, um unbefugten Zugriff auf Systeme oder Daten zu erlangen, ohne physischen Zugriff oder interne Netzwerkzugriffsrechte zu haben.

Ein interner Penetrationstest hingegen simuliert einen Angriff auf das interne Netzwerk des Unternehmens, der von einem Insider mit Zugriffsberechtigungen durchgeführt wird. Dies könnte ein Mitarbeiter, ein temporärer Angestellter oder jemand mit kompromittierten Anmeldeinformationen sein. Der Test bewertet, wie viel Schaden ein solcher Insider anrichten könnte, einschließlich Zugriff auf sensible Daten, Systemkontrolle oder die Fähigkeit, sich im Netzwerk weiter auszubreiten.

Beide Tests sind wesentliche Bestandteile eines umfassenden Sicherheitsprogramms, da sie unterschiedliche Bedrohungsvektoren und Angriffsszenarien abdecken. Die Kombination beider Ansätze bietet eine vollständigere Bewertung der Sicherheitslage einer Organisation.

  • Externer Penetrationstest: Identifiziert Schwachstellen, die von außerhalb des Netzwerks ausgenutzt werden könnten.
  • Interner Penetrationstest: Bewertet das Risiko und die potenziellen Schäden, die durch interne Bedrohungen oder durch externe Angreifer nach einer Erstpenetration entstehen könnten.
  • Extern: Simuliert einen externen Angreifer, der versucht, in das Netzwerk einzudringen.
  • Intern: Simuliert einen bereits authentifizierten Benutzer oder Angreifer, der versucht, seine Privilegien zu eskalieren oder interne Ressourcen zu missbrauchen.
  • Extern: Öffentlich zugängliche Systeme und Dienste.
  • Intern: Das gesamte interne Netzwerk und alle internen Dienste.
  • Extern: Konzentriert sich auf Perimeter-Sicherheit, einschließlich Firewall-Konfiguration, ungesicherte Dienste, Schwachstellen in Webanwendungen und andere externe Angriffsvektoren.
  • Intern: Konzentriert sich auf Zugriffskontrollen, Netzwerksegmentierung, interne Dienste, Missbrauch von Benutzerberechtigungen und andere Bedrohungen von innen.

Beide Arten von Tests generieren wichtige Einblicke in die Sicherheitslage einer Organisation, aber die aus einem internen Test resultierenden Empfehlungen sind in der Regel auf die Stärkung der internen Kontrollen und Verfahren ausgerichtet, während externe Tests Empfehlungen zur Absicherung der externen Angriffsoberfläche bieten.

Alle Pentests im Überblick