Welche Pentest-Methoden existieren aktuell?

Der allseits bekannte Penetrationstest ist eine systematische Sicherheitsprüfung der bestehenden IT-Systeme. Er sucht nach Schwachstellen und möchte dafür sorgen, dass selbige entsprechend behoben werden können. Doch die Methoden, die dabei zum Einsatz kommen, unterscheiden sich mitunter stark voneinander. Denn während der klassische Penetrationstest soweit klar definiert werden kann, haben sich IT-Infrastrukturen längst gewandelt und verändert, sodass eine Unterscheidung geradezu zwingend notwendig wird. Um genau diese möchten wir uns daher an dieser Stelle kümmern. Hier geht es nun um die unterschiedlichen Arten von Penetrationstests.

Cloud Pentest

Mit dem Cloud Pentest werden, der Name verrät es natürlich bereits, Cloud-Infrastrukturen getestet. Dazu gehören auch Cloud Services, die im jeweiligen Unternehmen zum Einsatz kommen. Da viele Organisationen große Teile ihrer IT-Infrastruktur inzwischen in die Cloud verlagert haben oder entsprechende Dienste dafür in Anspruch nehmen, muss natürlich auch hier sichergestellt werden, dass diese jederzeit den aktuellen Sicherheitsstandards entsprechen. Egal, ob APIs, Konfigurationen, Compliance-Richtlinien oder aber die Datenverarbeitung der jeweiligen Services – der Cloud Pentest gibt Aufschluss darüber, ob die entsprechende Cloud als sicher betrachtet werden kann oder nicht. Er testet also Cloud-Infrastrukturen auf mögliche Schwachstellen.

Mobile Pentest

Beim Mobile Pentest geht es um mobile Anwendungen und deren Backends, die hier umfassenden Sicherheitsprüfungen unterzogen werden. Der Penetrationstest soll auch hier sicherstellen, dass mobile Anwendungen entsprechende Sicherheitsstandards erfüllen und die gelieferten Daten korrekt verarbeiten. Gerade Datenübertragung und Datenverarbeitung spielen bei mobilen Anwendungen eine entscheidende Rolle. Auch die Backend-Sicherheit wird gerne einem Pentest unterzogen, damit Server und Strukturen im Hintergrund als entsprechend vertrauenswürdig und sicher eingestuft werden können. In Zeiten, in denen vieles über mobile Anwendungen erledigt wird, spielt der Mobile Pentest eine entsprechend wichtige Rolle.

Physical Pentest

Der Physical Pentest verlässt die digitale Welt und prüft IT-Infrastrukturen und Systeme auf der physischen Ebene. Dazu gehören Social Engineering, Manipulation von tatsächlicher Hardware, Sicherheit der im Unternehmen eingesetzten Ausweise, Checks von Zugangskarten und ähnlichen Systemen sowie auch den tatsächlichen Zugriff auf die IT-Systeme selbst. Schwachstellen gibt es überall und diese warten nicht nur in der IT-Infrastruktur und in digitaler Form, sondern oft auch ganz real durch Zugriff auf Server, beispielsweise durch das Wartungspersonal oder über frei verfügbare und offen herumstehende Rechner. Auch gemeinsam genutzte Zugänge, die im Unternehmen von allen Mitarbeitern eingesetzt werden können, sind häufig ein Problem. Diese physischen und somit ganz real sichtbaren Schwachstellen soll der Physical Pentest aufzeigen.