Planung und Vorbereitung eines Pentests

Planung und Vorbereitung eines Pentests
Penetrationstests können vergleichsweise klein durchgeführt werden, doch für sich genommen sind sie dennoch immer eine große Sache. Immerhin handelt es sich um Angriffe, die Schwachstellen aufdecken sollen. Es sind Hacks, die zwar kontrolliert stattfinden, jedoch immer auch unangenehme Konsequenzen nach sich ziehen können. Um Letzteres zu verhindern, gilt es, Penetrationstests genauestens zu planen und durchzuführen, um jedwede unangenehme und unvorhergesehene Konsequenzen zu vermeiden.

Zielsetzung

Für einen Penetrationstest ist die Zielsetzung enorm wichtig. Da Penetrationstests nicht immer im gleichen Umfang stattfinden, ist es wichtig vorab festzulegen, welche Ziele mit dem Pentest überhaupt erreicht werden sollen. Schwachstellen finden, ist dabei übrigens nicht sehr spezifisch, denn wo genau wird getestet und welche Schwachstellen können im Unternehmen von entsprechend großer Bedeutung sein? Aus der Zielsetzung ergibt sich schlussendlich auch der Umfang. Welche Systeme, APIs, Anwendungen oder Netzwerke werden überhaupt getestet und wie tief und zeitaufwendig wird der darauffolgende Penetrationstest sein? Fragen, die vorab natürlich entsprechend geklärt sein müssen.

Vertragsabwicklung

Ein Penetrationstest ist am Ende nichts anderes als ein kontrollierter Angriff auf ein IT-System. Dementsprechend bedarf es der Genehmigung und der rechtlichen Absicherung, in Form eines schriftlich festgehaltenen Vertrags. Darin muss vom Datenschutz bis zu Genehmigungen alles enthalten sein. Pentester müssen sich dabei ebenso absichern wie die getesteten Unternehmen, die durch den Penetrationstest keine unangenehmen Konsequenzen erleben möchten. Denn falsch durchgeführt, kann ein Pentest immer auch schiefgehen oder IT-Systeme nachhaltig schädigen. Das ist einer der Gründe dafür, warum nicht zwangsläufig der günstigste Anbieter, sondern vielmehr ein erfahrener Dienstleister gewählt werden sollte. IT-Sicherheit ist nichts, bei dem Sie als Unternehmen sparen sollten

Vorbereitung

In der Vorbereitung des Penetrationstests werden wichtige Informationen eingeholt. Hier geht es darum, möglichst alle Details zu den Zielsystemen zur Verfügung zu stellen, damit der Pentest umfangreich und intensiv durchgeführt werden kann. Je nach Art und Umfang des Penetrationstests, versteht sich. Auch Tools und Techniken werden in der Vorbereitung besprochen und angepasst. Hier wird somit alles geplant, um den Pentest im Anschluss dann möglichst problemlos, zielstrebig und zeitoptimiert durchführen zu können.

Durchführung

Die Durchführung des Penetrationstests ist die entscheidende Phase. Mit einer speziell dafür eingerichteten Testumgebung, meist eine isolierte Basis, kann sichergestellt werden, dass der Pentest keinen Einfluss auf die laufenden Geschäfte des jeweiligen Unternehmens nimmt. Dieser Aspekt ist, je nach Unternehmensart und Größe, sowie der allgemeinen Aktivität, besonders wichtig. Die Durchführung selbst wird von IT-Sicherheitsexperten und somit ethischen Hackern durchgeführt. Diese greifen das System nun gezielt an und stellen fest, ob es bedrohliche Schwachstellen gibt. Diese Schwachstellen werden protokolliert und im Anschluss noch einmal detailliert besprochen. Je nach Umfang und Unternehmen dauert ein Penetrationstest meist nur wenige Tage und nur selten länger als eine Woche.

Analyse

In der abschließenden Analyse zeigt sich nun, welche Schwachstellen ein IT-System aufweist. Der Penetrationstest hat dabei die Aufgabe, möglichst alle Sicherheitslücken aufzuzeigen. Entsprechend umfangreich sollte die Analyse und Protokollierung auch ausfallen. Aus dem Abschlussbericht muss daher klar und deutlich hervorgehen, welche Schwachstellen genau gefunden wurden und warum sie so gefährlich sind. Auch detaillierte Hinweise zur Behebung dieser Sicherheitslücken sind Teil des abschließenden Berichts. Für gewöhnlich werden zusätzlich also noch einige Handlungsempfehlungen getätigt, die die allgemeine Sicherheit innerhalb der getesteten IT-Infrastruktur entsprechend verbessern können. Manchmal übernimmt der Dienstleister, der den Pentest durchgeführt hat, dann aber auch gleich die Aufgabe, die gefundenen Schwachstellen zu schließen.