Penetrations-Test
Was sind Penetrationstest?
Penetrationstests sind an dem eine Person die Rolle eines Hackers übernimmt und versucht, IT Systeme zu kompromittieren oder unbefugten Zugriff auf ein Netzwerk oder eine Anwendung zu erlangen. Auch bekannt als White Hat Hacking, wird ein qualifizierter Profi automatisierte Tools und manuelle Prozesse nutzen, um Schwachstellen und Fehlkonfigurationen aufzudecken, die ein Cyber-Sicherheitsrisiko darstellen. Ein Penetrationstest gibt Unternehmen einen Überblick über ihre Sicherheitslage, hebt Fehler hervor und ermöglicht es ihnen, gepatcht zu werden, bevor sie von böswilligen Hackern angegriffen werden. Auch als White Hat oder ethisches Hacking bekannt, sind Penetrationstests ein wesentlicher Bestandteil einer effektiven Sicherheitsstrategie und ein obligatorischer Bestandteil vieler Compliance-Systeme.
Es gibt mehrere Arten von Penetrationstests, die als Black-, White- oder Grey Box Pentests definiert werden können. Ebenso gibt es einen Unterschied zwischen einem Anwendungstests und einem Infrastrukturtest. Ein Anwendungstest ist, wie der Name schon sagt, der Ort, an dem ein Tester nach Fehlern in einer Anwendung sucht, um zu sehen, ob es eine Möglichkeit gibt, an Daten zu gelangen oder Funktionen auf eine Weise zu manipulieren, die nicht beabsichtigt war. Dies kann Cookie-Diebstahl, XSS, Man-in-the-Middle-Angriffe usw. beinhalten. Bei Infrastrukturtests hingegen versucht der Tester, Zugang zu einem Unternehmensnetzwerk zu erhalten.
Was sind die verschiedenen Arten von Penetrationstests?
Blackbox-Tests
Blackbox-Tests sind die engste Simulation von realen Hacking, da der Tester sehr wenig wissen wird, wenn überhaupt etwas über das Ziel außer dem, was öffentlich zugänglich ist. Dies sind oft die am wenigsten zeitaufwändigen Tests, da es sich ausschließlich darauf stützt, dass der Tester Schwachstellen in nach außen gerichteten Komponenten entdeckt. Obwohl diese Tests genau reale Situationen darstellen, werden sie keine Schwachstellen oder Fehlkonfigurationen aufgreifen, die intern vorhanden sein können. Daher können sie nicht vorhersagen, welchen Schaden eine interne Bedrohung verursachen kann.
White Box-Tests
White box testing bietet den gründlichsten Sicherheitstest, bei dem der Tester ein vollständiges Verständnis der Anwendung oder Infrastruktur hat, wie er funktioniert und Zugriff von verschiedenen Ebenen hat. Es ist wahrscheinlich, dass sie sogar Zugriff auf den Quellcode haben oder eine vollständige detaillierte Karte der internen Infrastruktur haben. Der Tester wird nach Schwachstellen und Fehlkonfigurationen suchen, um zu versuchen, von einer externen Position aus Zugriff zu erhalten, und schauen, welche Schäden aus interner Sicht angerichtet werden können.
Grey box-Tests
Graubox-Tests sind eine Mischung aus Schwarz-Weiß-Box-Tests und sind oft die beliebteste Art von Test. Der Tester verfügt über begrenzte Kenntnisse des Ziels, einschließlich einiger Dokumentationen. Sie verfügen häufig über einfachen Zugriff auf Benutzerebene, sodass die internen Daten des Ziels teilweise getestet werden können.
Netzwerkdurchdringungstest
Ein Netzwerkdurchdringungstest ist der Fall, bei dem ein Cyber-Profi versucht, die Infrastruktur einer Organisation zu durchbrechen. Der Tester überprüft fehl Konfigurationen, veraltete Software, logische Fehler und sucht sogar nach einer Möglichkeit, Berechtigungen zu eskalieren, wenn es ihnen gelingt, Zugriff zu erhalten. Sie werden sich in der Regel auf:
• Firewall-Konfigurationen
• Segmentierung
• Privilegien-Eskalation
• Falsch gespeicherte Daten
• Standardanmeldeinformationen
Was ist der Unterschied zwischen Penetrationstest und Vulnerbility Assessment?
Die Begriffe Penetrationstest und Schwachstellenbewertung werden oft fälschlicherweise austauschbar verwendet. Eine Schwachstellenbewertung oder EIN VA-Scan ist die Verwendung eines automatisierten Tools, um ein Netzwerk oder eine Anwendung auf bekannte Schwachstellen zu scannen, die dann gepatcht werden können. Ein Penetrationstest ist viel mehr involviert und umfasst viele Aspekte, die Ihnen einen umfassenderen Überblick über Ihre allgemeine Sicherheit bieten. Ein Schwachstellen-Scan kann auch in den Anfangsphasen eines Penetrationstests verwendet werden, um festzustellen, ob leicht ausgenutzte Fehler zum Arbeiten vorhanden sind. Der Tester geht dann noch einen Schritt weiter und nutzt Brute-Forcing, Code-Injektionen, Social Engineering und vieles mehr.
Ein Penetrationstest kann einen ersten Schwachstellen-Scan verwenden, um festzustellen, ob leicht ausnutzbare Fehler zu beheben sind.
Was sind die Stadien eines Penetrationstests?
Alle Penetrationstestprojekte beginnen mit einem genauen Scoping. Sobald die Grenzen vereinbart und ein Ziel beschlossen ist, werden die Tester mit einer Aufklärung beginnen. Dies ist der Ausgangspunkt für jeden Hacker und der Beginn der Cyber-Kill-Chain. Dies kann die Suche nach verwandten URLs oder Domänen umfassen, die im Umfang berücksichtigt werden könnten, und den Angriffsbereich vergrößern oder einige Schwachstellenscans auf ihrem Ziel durchführen. Wenn Social Engineering in den Test einbezogen ist, kann die Recon-Aktivität die Suche nach öffentlich verfügbaren Quellen nach Kontaktdaten des Personals, Mitarbeiterpass-Designs oder E-Mail-Adressformaten umfassen. Die Tester werden dann versuchen, jede festgestellte Schwäche auszunutzen, um sich unberechtigten Zugriff zu verschaffen. Dies kann häufig einen Try- and error basierten Ansatz haben. Wenn erfolgreich, wird der Tester das Ausmaß der potenziellen Reichweite eines Hacks herausfinden, einige Beweise zusammenstellen und dann einen detaillierten Bericht zusammen mit Behebungsempfehlungen zur Verfügung stellen. Tests führen häufig zu folgenden Schritten aus:
Was ist Social Engineering?
Social Engineering ist der Prozess der Nutzung des menschlichen Aspekts eines Unternehmens, um die Sicherheit zu gefährden. Die häufigste Form davon ist Phishing. Dies beinhaltet, Benutzer per E-Mail dazu zu verleiten, einem bösartigen Link zu folgen, Malware herunterzuladen oder ihre Anmeldeinformationen einzureichen.
Dies ist oft der einfachste Weg für einen Hacker, ein Unternehmen zu kompromittieren. Egal, wie beeindruckend Ihre Cyber-Sicherheit ist, ein Mitarbeiter kann einfach alles rückgängig machen. Im Jahr 2019, Phishing-Angriffe versuchen, Ransomware in Unternehmen zu bekommen war 109% von 2017 gestiegen.Social Engineering ist ein ausgefallener Begriff für einen oft einfachen Ansatz. Wie oft haben Sie eine E-Mail erhalten, die wie folgt aussieht?
Sehr geehrter Benutzer,
Ihr Outlook-Kennwort läuft ab und muss zurückgesetzt werden. Bitte folgen Sie diesem Link, um ihn zurückzusetzen.
LINK
Mit freundlichen Grüßen
IT-Abteilung.
Dieser Link wird Sie zweifellos zu einem bösartigen Portal von Hackern führen, die darauf bedacht sind, Ihr Passwort zu erhalten, und wenn Sie auf den Link geklickt und Ihr Passwort zurückgesetzt haben, dann haben sie es. Bei der Buchung eines Penetrationstests entscheiden sich viele Unternehmen für ein Element des Social Engineering, um die Phishing-Anfälligkeit ihrer Mitarbeiter zu testen.
Einige wichtige Dinge, auf die Sie achten sollten, sind schlechte Rechtschreibung und Grammatik, sowohl im Textkörper als auch in der E-Mail-Adresse.