Der Begriff Cybersecurity ist nicht mehr wegzudenken für alle, die sensible Daten auf ihrem Computer oder in ihrem Netzwerk haben.
Das geht im besten Fall weiter, als bloß ein gutes Antiviren-Programm und sichere Passwörter einzuführen. Ein guter Schutz vor Angriffen aus dem Internet sind Penetrationstests. Sie gehen sicher, dass bereits vor einem versuchten Hack genügend Schutz vorhanden ist, damit es gar nicht erst zu Schäden kommen kann.
Was genau ist ein Penetrationstest?
Ein Penetration Test, auch als Pentest abgekürzt, versucht die bestehenden Sicherheitsmaßnahmen eines Netzwerks zu penetrieren. Dabei setzt sich ein Experte in Handarbeit daran, um auch wirklich jede Lücke zu finden, die anderen Menschen auch offenstehen. Er überprüft durch kontrollierte Angriffe von intern und extern, ob Sicherheitslücken existieren. Diese verstecken sich meist in:
- Code-, Software- und Konfigurationsfehlern oder
- unsicheren Einstellungen.
Findet er Ansatzpunkte für einen Hackingangriff, können diese nun geschlossen werden, bevor ein tatsächlicher Schaden entsteht.
Quelle: Unsplash
Regelmässige Pentests bei Unternehmen
Gerade für Unternehmen sind regelmässige Pentests ratsam. Sie bringen mehrere Vorteile:
- vermeiden Schäden, bevor sie entstehen
- sparen Kosten von Ausfällen und Wiederaufbau von Netzwerken
- halten Sicherheitssysteme up-to-date
- erfüllen gesetzliche Datenschutz-Vorschriften
- sichern den Ruf der Firma und das Vertrauen von Kunden
Nach der neusten Datenschutz-Grundverordnung sind Unternehmen verpflichtet, nachzuweisen, dass sie Systeme implementiert haben, die den Datenschutz gewährleisten. Dabei reicht es nicht, ein Sicherheitssystem zu haben. Es muss auch garantiert werden, dass es funktional ist und tatsächlich effektiv absichert. Ein regelmässiger Pentest erfüllt diese Vorgaben und schont so vor eventuellen Bussgeldern.
Wie häufig und wie umfangreich ein Penetrationstest eines Unternehmens sein soll, hängt davon ab, wie kritisch es ist, dass die Daten geschützt bleiben. Die Faktoren, die die Wichtigkeit beeinflussen sind zum Beispiel:
- die Grösse des Netzwerks und Unternehmens
- wie entscheidend die Daten und die Funktionalität des IT-Netzwerks für das Unternehmen sind
- wie stark die Branche durch Hackingangriffe bedroht ist (z. B. im Finanzsektor)
Anhand dieser Faktoren kann entschlossen werden, welche und wie viele Pentests notwendig sind.
Unterschiedliche Pentest für das Unternehmen
Je nach Notwendigkeiten des Unternehmens kann man unterschiedliche Arten von Penetrationstests durchführen. Dazu gehören Standard-Pentests in einem festen Turnus, aber auch Testungen zu ausserplanmässigen Terminen, zum Beispiel wenn eine grosse Änderung an den Systemanwendungen stattfindet.
IT-Infrastruktur und Webanwendungen
Ein Pentest, der die Infrastruktur eines Unternehmens testet, sollte mindestens einmal im Jahr stattfinden. Der externe Test überprüft alle über das Internet erreichbaren Systeme, darunter:
- Firewalls
- VPNs
- DNS
- E-Mail-Systeme
- Fileserver
Der Test von Webanwendungen, die mit dem Browser geöffnet werden, brauchen noch einmal ein spezifischeres Set an Tools. Vor allem, wenn die Plattform viele mögliche Zugriffspunkte und einen breiten Benutzerkreis hat, ist die Anforderung an die Sicherheit des Systems sehr hoch.
Black-Box-Tests, White-Box-Tests und Grey-Box-Tests
Black-, Grey- oder White-Box-Tests geben vor, wie viel Vorwissen der Tester über das Unternehmen und sein Netzwerk hat.
Ein echter Hackingangriff hat wahrscheinlich kein spezifisches Vorwissen über die IT-Infrastruktur einer Firma. Das wird bei dem Black-Box-Test imitiert. Das Sicherheitsunternehmen versucht also, ohne jegliches
Insiderwissen von Seiten des Auftragsgebers in das System zu kommen.
Bei dem Grey-Box-Test erhält er einzelne Informationen und weiß, was der Zweck des IT-Systems ist, das er angreifen soll.
Ein White-Box-Test gibt dem Tester alle Kenntnisse und Tools des Systems, damit er gezielt nach Sicherheitslücken suchen kann.
- Black-Box-Test – Der Tester geht blind an den Pentest.
- Grey-Box-Test – Der Tester hat vereinzelte Infos zum Zweck des Netzwerks.
- White-Box-Test – Der Tester hat alle Infos über die Firma und ihr Netzwerk.
Externe oder interne Pentests
Bei der Frage nach externen oder internen Pentests geht es darum, ob die IT-Abteilung im Haus eine Testung durchführt, oder ein externer Dienstleister gewählt wird. Auch wenn der Systemadministrator vor Ort viele Kenntnisse über das Netzwerk hat, ist er nicht immer in der Lage auf gleicher Ebene zu arbeiten, wie ein Experte für Penetrationstests. Deshalb wird immer empfohlen, eine externe Sicherheitsfirma einzustellen, die das System überprüft. Dadurch verhindert man auch Betriebsblindheit, die das Erkennen von Fehlern erschwert.
Fazit
Pentests sind ein wichtiger Baustein für die IT-Sicherheit von Unternehmen. Wer mit wichtigen Daten handhabt oder es nicht riskieren kann, einen Netzwerkausfall zu erleiden, muss sicher gehen, dass die möglichen Sicherheitslücken des Systems so weit es geht eliminiert werden. Der Penetrationstest hilft dabei festzustellen, welche das sind, und die Sicherheit des Netzwerks auf den neusten Stand zu bringen.
(Quelle: https://unsplash.com/photos/J5yoGZLdpSI)
