Was ist ein Penetrationstest?

Anwendungen. Die Pentester verwenden automatisierte Tools und manuelle Tests, um Schwachstellen in Anwendungen und verbundenen Datenbanken zu finden. Dabei können sowohl die Binärdateien der Anwendung selbst sowie Autorisierungsprozesse, Verschlüsselung, das Potenzial für SQLi und vergleichbare Angriffsmethoden untersucht werden.

Netzwerke. Als (zumindest theoretischer) Sicherheitsperimeters des Unternehmens muss das Netzwerk besonders strengen Penetrationstests unterzogen werden. Der Prozess umfasst in der Regel eine systematische Untersuchung der administrativen Zugriffskontrollen, der Secure Socket Layer (SSL) sowie verschlüsselter Transportprotokolle, Zertifikate, Netzwerksegmentierung und mehr.

Cloud. In der Cloud nehmen die Pentester Systemkonfigurationen, APIs (Application Programming Interfaces) und Speicher unter die Lupe. Darüber hinaus suchen sie auch nach möglichen Cloudinstanzen, die abweichend von den Standardrichtlinien eingerichtet wurden. So etwas kommt häufiger vor, als man denkt. Zum Beispiel könnte ein wohlmeinender, aber schlecht informierter Entwickler eine Anwendung inklusive Datenbank auf einer Cloudplattform bereitstellen, ohne die nötigen Sicherheitskontrollen anzuwenden oder auch nur jemanden darüber zu informieren, dass diese Cloudinstanz existiert.

Softwareentwicklungsprozesse. Im Rahmen des DevOps-Workflow und der CI/CD-Pipeline (Continuous Integration/Continuous Deployment) kann es vorkommen, dass versehentlich Bugs und Programmierfehler in die Software gelangen, welche die Anwendung anfällig für Angriffe machen können. Indem sie DevOps und die CI/CD-Pipeline automatisierten Tests unterziehen, können die Tester versteckte Schwachstellen finden, die durch das statische Scannen des Codes nicht erkannt werden können. Darüber hinaus versuchen die Tester auch, in den Entwickler-Workflow einzudringen, um möglicherweise schädlichen Code in die Codebasis einzuschleusen. Ein ganz ähnliches Vorgehen bietet sich auch in Bezug auf Container, beispielsweise Docker, an.

Geräte. Hardware kann ebenso anfällig für einen Angriff sein wie ein Netzwerk oder eine Anwendung. Die Pentester versuchen, anhand von Schwachstellen in den Anwendungs-Binärdateien, Firmware und Betriebssystemsoftware in das Gerät einzudringen. Am häufigsten finden Pentester solche Schwachstellen bei Geräten, auf denen keine Sicherheitspatches installiert wurden.

APIs. Pentester kombinieren manuelle und automatisierte API-Testprozesse, um zu ermitteln, ob eine API eine der zehn wichtigsten Schwachstellen aufweist, die das Open Worldwide Application Security Project (OWASP) gesammelt hat, darunter etwa fehlerhafte Autorisierung auf Objektebene (Broken Object Level Authorization, BOLA). Zugleich wird auch analysiert, ob bei einer API eine fehlende Ratenbeschränkung oder Probleme mit der Nutzerauthentifizierung auftreten.

Pentests bieten eine Vielzahl von Vorteilen gegenüber anderen Arten von Sicherheitstests. Dies bedeutet nicht, dass Komponententests, Funktionstests und weitere Prüfungen weniger wichtig oder notwendig wären. Pentests ermöglichen es jedoch, Sicherheitslücken zu finden, die andere Prozesse überhaupt nicht aufdecken können.

Darüber hinaus kann durch Pentests die gesamte Angriffskette aufgedeckt werden. Sie zeigen, wie der Angreifer die Schwachstelle entdeckt und ausgenutzt hat und wie er sich Zugriff verschaffen und diesen beibehalten konnte. Auf diese Weise können Sicherheitsteams mit Penetrationstests systemische Probleme beheben, die sonst unsichtbar bleiben würden. Ein effektiver Pentest zeigt auch, wie wirksam eine Kontrolle oder Gegenmaßnahme wirklich ist. Umso wichtiger ist dies im Hinblick auf die Einhaltung von Vorschriften wie PCI DSS und DSGVO.

Pentests unterscheiden sich je nach Ansatz in der Anzahl und Art der Angriffsziele, dem Umfang der Informationen, die den Testern zur Verfügung stehen oder von ihnen erfasst werden, und den Tools, Fähigkeiten und Ressourcen, die den Testern zur Verfügung stehen. Die unterschiedlichen Ansätze für Penetrationstests umfassen mehrere verschiedene mögliche Box-Tests:

Black-Box-Pentests: Wenn die Tester für den Pentest einen Black-Box-Ansatz (auch bekannt als Closed-Box- oder Single-Blind-Test) verfolgt, verfügen sie über keinerlei Vorkenntnisse des Zielsystems. Der Test wird aus einer rein externen Perspektive durchgeführt, um einen realen Angriff zu simulieren. Dabei nutzen die Tester die kreativsten und unvoreingenommensten Taktiken ohne jegliche Vorannahmen. 

White-Box-Pentests: Bei einem White-Box-Test (auch bekannt als Open-Box- oder Clear-Box-Ansatz) erhalten die Pentester vorab genehmigten Zugriff auf die Sicherheitsinformationen des Unternehmens. Sie führen den Test also von einer informierten Position aus durch. Dieser Ansatz erspart den Testern Zeit, die sie sonst mit Raten und Ausprobieren verbringen müssten, und ermöglicht es ihnen, möglicherweise mehr Risiken zu erkennen. Den Testern werden umfassende Informationen zum Zielsystem bereitgestellt, einschließlich Architekturdiagrammen, Quellcode und Funktionen. Dies ermöglicht eine gründliche und detaillierte Analyse, die auch tieferliegende Schwachstellen aufdecken kann, welche mit eingeschränkten Informationen möglicherweise nicht auffindbar wären. 

Gray-Box-Pentests: Bei einem Grey-Box-Ansatz kann das Hacking-Team bestimmte Informationen über das System des Unternehmens erhalten. Dies erhöht die Chance, dass sie Schwachstellen mit hohem Risiko identifizieren, damit diese anschließend behoben werden können.

Ein verdeckter oder Double-Blind-Ansatz liegt vor, wenn gewöhnliche Nutzer – einschließlich IT-Mitarbeitern – nicht wissen, dass ein Test stattfindet. Dies stellt auch die Fähigkeit des IT-Teams, in Echtzeit auf Sicherheitsverstöße zu reagieren, auf die Probe. Bei einem solchen Test kann es erforderlich sein, die Strafverfolgungsbehörden im Voraus zu informieren, damit keine Fehlalarme ausgelöst werden.