Pentest

Penetrationstests ja, aber warum? In einem Pentest verhält sich der Prüfer auf der Stufe von IT-Einbrechern (Hackern) und prüft die Tests. Dazu gehören z.B. Server-Systeme, Brandmauern, WLAN-Netzwerke, VPN-Zugänge oder Brandmauern auf Sicherheitslöcher. Dies sind die ersten Tests in der IT-Sicherheit.

Zu dieser Zeit führten ehemalige Hacker oft Versuche an der IT-Infrastruktur durch. Webapplikationen sind über das Internet zugängliche Interaktionsanwendungen. Weitere Webapplikationen findet man in den Bereichen Kundenmanagement, Fotobuch-Software im Internet, Systeme zur Überwachung von Server und Services und vieles mehr. Eine weitere Spezialität sind Penetratio-Tests von Webservices (Netzwerkdienste). Die WSDL-Datei enthält die Festlegung, was der Webdienst anbietet und wie er verwendet wird.

Grundsätzlich ist es jedoch nicht möglich, dass Web-Applikationen gewisse Fehlerkategorien allein durch das Programm überprüfen lässt. Der Prüfer weiss hier nicht, welche Anlagen ihn warten. Er muss wie ein Häcker verfahren und sich ein eigenes Abbild der vorhandenen Strukturen machen. Hierbei kennt der Penetrationstester alles über die IT-Infrastruktur: Welche Rechner, Betriebsysteme, Dienste und Applikationen sind im Einsatz, welche Anschlüsse sind bzw. sollten offen sein.

Sie kann für die bekanntesten Anlagen exakt geprüft werden. Dies ist das gängigste Verfahren, da zu prüfende IP-Bereiche oft definiert werden und gewisse Anlagen vom Testen ausgeschlossen werden können. In der Regel verwenden unsere Auftraggeber, die einen Jahresdurchdringungstest bestellen, einen White Box Penetrationstest. Das Risiko eines Innenangriffs nimmt mit der Unternehmensgröße zu.

Ein interner IT-Penetrationstest legt ein Target fest. Die Prüfung erstreckt sich in der Regel über mehr Gebiete als ein Penetrationstest, wodurch dieser wesentlich weiter in den Sicherheitsbereich eindringt.

Der Pentest ist eine sinnvolle Ergänzung des Audits. Zum einen kann es für hochqualitative Penetrationstests eingesetzt werden, zum anderen für leicht umsetzbare Massnahmen wie z.B. Virusschutz. Sammlung von verschiedenen Massnahmen, z.B. Prüfung, ob der Virusschutz auf dem neuesten Stand und aktiviert ist und ob Backup-Mechanismen arbeiten. Das ist ein Begriff für Penetrationstest, der im Allgemeinen auf Englisch benutzt wird.

Das passiert oft bei Web-Applikationen, da die Firmwares der Hardware in der Regel nicht sichtbar sind (Closed Source im Unterschied zu Open Source). Diese Überprüfung kann eine nützliche Ergänzung zu einem Pentest sein. Durchdringungsversuche sind ein noch junges Gebiet der Informationstechnologie und daher nicht standardisiert. Hierfür gibt es Leitlinien, wie solche Prüfungen durchzuführen sind.

Sie ist ein guter Einstieg in die Grundorientierung und wird ständig überarbeitet. Der Leitfaden für den Pentest ist daher so zeitgemäß und umfangreich wie möglich. Im Jahr 2003 hat das Bundesamt für Informationsschutz (BSI) zudem einen Leitfaden zur Ausführung von Durchdringungstests erlassen: "Umsetzungskonzept für Durchdringungstests". Behördenverantwortliche, die einen Penetrationstest durchführen wollen, werden als Empfänger betrachtet.

Das Projekt für die Sicherheit von Web-Applikationen (OWASP) stellt umfassende Materialen für die Durchführung von Durchdringungstests für Web-Applikationen zur Verfügung. OWASP erstellt neben gut aufbereiteten und aussagekräftigen Dokumenten auch Tools, die in einem Pentest verwendet werden können. Das " OWASP-Testprojekt " gibt einerseits eine sehr gute Orientierung, welche Art von Prüfungen für einen Penetration Test von Web-Applikationen durchzuführen sind.

Sie beschreibt, um was es bei den Einzeltests geht und wie sie ablaufen. Abhilfemaßnahmen für Sicherheitsschwachstellen werden ebenfalls aufgelistet. Das OWASP stellt auch eine hervorragende Dokumentation für Entwickler dar. Eine Unterlage, die für Entwickler nützlich sein sollte, um gesicherte Web-Anwendungen zu erstellen: "OWASP Entwicklerhandbuch". Sie enthält eine aktuelle Auflistung der gefährlichsten Schwachstellen in Web-Anwendungen.

Werden Schwachstellen bei der Penetration stests von Web-Applikationen entdeckt, sind einige davon sicherlich in den Top 10 von OWASP zu sehen. Dieses Verzeichnis hat sich so weit verbreitet, dass auch OWASP Top-10 Penetration Tests durchgeführt werden. Dies ist eine gute Stütze für den tätigen Penetrationstester. Im Jahr 2009 hat das deutsche "Chapter" des OWASP einen Richtlinienvorschlag für den Penetrationstest von Web-Applikationen erarbeitet.

"Best-Practice: Projektplanung des Sicherheitstests von Webanwendungen" wendet sich an Anwender von Webapplikationen, die sich bei der Durchführung und Vorbereitung des Durchdringungstests unterstützen lassen möchten. Die Art der Prüfungen und die organisatorischen Gesichtspunkte werden besprochen. Der Inhalt entspricht der BSI-Richtlinie "IT Security Penetration Test".