Laut dem Bericht Cyberwarfare in the C-suite wird erwartet, dass die weltweite Cyberkriminalität bis 2025 jährlich um 15% zunehmen wird. Dies bedeutet eine Steigerung auf 10,5 Billionen Dollar jährlich, gegenüber 3 Millionen Dollar im Jahr 2015.
Darüber hinaus sind Mitarbeiter kleiner Unternehmen 350% häufiger Ziel von Social-Engineering-Angriffen als große Unternehmen.
Klingt beängstigend, oder? Was ist also die Lösung für dieses globale Problem? Die Antwort lautet: Penetrationstests.
Dabei handelt es sich um eine Technik, mit der das eigene System angegriffen und auf Schwachstellen untersucht wird. Die aus Penetrationstests gewonnenen Erkenntnisse helfen Unternehmen, die richtigen Cybersicherheitsprotokolle einzusetzen, um das Eindringen echter Bedrohungsakteure zu verhindern.
In der Regel gibt es fünf Phasen von Penetrationstests. Lesen Sie weiter, um mehr über sie zu erfahren.
Planung und Festlegung der Rahmenbedingungen
Dies ist die erste der fünf Phasen von Penetrationstests. Dabei wird die Nachahmung eines Cyberangriffs geplant. Auf diese Weise lassen sich Informationen über Einstiegspunkte und Schlupflöcher im Sicherheitssystem gewinnen.
Es handelt sich zweifellos um eine der zeitaufwändigsten Phasen der Penetrationstests. Die Experten müssen die Elemente der IT-Struktur erkunden, Schwachstellen ausfindig machen und sehen, wie das System auf solche Angriffe reagiert.
Sie suchen nach Informationen über Kunden, Mitarbeiter, Finanzen, Strategien, Quellcode, Netzwerktopologie, IP-Adressen und mehr.
In dieser Phase der Penetrationstests werden auch offene Ports und Apps untersucht, die anfällig für Angriffe sind.
Die Tester verwenden Penetrationstest-Tools je nach Tiefe und Ziel der Analyse. Auch die Art der Elemente, auf die in der IT-Umgebung abgezielt wird, spielt eine Rolle. Zu den üblichen Erfassungsmethoden gehören Social Engineering, Dumpster Diving und Netzwerk-Scans.
Dumpster Diving ist eine Möglichkeit für Angreifer, an Informationen zu gelangen, die zur Aufrechterhaltung oder zum Aufbau von Vertrauen verwendet werden können. Dabei kann es sich sogar um ein harmloses Dokument handeln. Das Netzwerk-Scanning hingegen dient dazu, alle aktiven Geräte in einem Netzwerk zu finden. Diese werden dann ihren jeweiligen IP-Adressen zugeordnet, um den Angreifer zu patchen.
Ermittlung von Vermögenswerten
Auf der Grundlage ihrer Erkenntnisse aus der ersten Phase scannen White-Hat-Hacker die Tools und planen, wie sie Penetrationstests Schritt für Schritt durchführen können.
Das Ziel dieser zweiten Phase der Penetrationstests ist es, Schwachstellen zu finden. Sie sind potenzielle Zugangspunkte für Angreifer. Daher müssen alle Details ordnungsgemäß notiert werden, da sie die nächsten Phasen des Penetrationstests unterstützen werden.
Simulation eines Angriffs und dessen Ausnutzung
Im Anschluss an die ersten beiden Phasen eines Management-Penetrationstest-Projekts zielt diese Phase des Web-Penetrationstests darauf ab, die Wirksamkeit der operativen Sicherheitskontrollen zu bewerten, indem ein tatsächlicher Angriff auf die Struktur durchgeführt wird.
Bei der Ausnutzung des Systems versuchen die White-Hat-Hacker, so tief wie möglich in das System einzudringen, um die Intensität der Schwachstellen zu ermitteln.
Dies geschieht auf zwei Arten:
- Statische Analyse: Hierbei wird der Code der Anwendungen untersucht, um zu prüfen, wie sie sich während der Ausführung verhalten. Es gibt mehrere Tools, mit denen der gesamte Code in einem Durchgang bewertet werden kann.
- Dynamische Analyse: Dies ist eine praktische Methode, um genau herauszufinden, wie die Anwendungen während der Ausführung reagieren. Dieser Ansatz bietet einen Echtzeit-Überblick über die Kodierung.
Nachdem er im Netzwerk Fuß gefasst hat, hält der Penetrationstester den simulierten Angriff über einen längeren Zeitraum aufrecht. Dies geschieht, um die Ziele eines Bedrohungsakteurs zu imitieren.
Das Ziel von Penetrationstests ist es, ein Maximum an Netzwerkdaten und Zugang zum System zu erhalten. So wird sichergestellt, dass alle Bemühungen in die richtige Richtung gehen.
Die verschiedenen Phasen der Penetrationstests geben einem Unternehmen Aufschluss darüber, wie stark es im Falle eines tatsächlichen Cyberangriffs betroffen sein könnte. Die böswilligen Akteure können wichtige Informationen und Passwörter stehlen, was sich negativ auf den Ruf einer Marke auswirkt.
Analyse und Berichterstattung
In der vierten Phase der Penetrationstests geht es darum, einen Bericht zu erstellen und einzureichen, in dem der gesamte Prozess der Penetrationstests dargestellt wird. Unabhängig von der Art der Penetrationstests enthält der Bericht einige allgemeine Informationen:
- Intensität der Risiken, die sich aus den festgestellten Anfälligkeiten ergeben
- Werkzeuge, die es Hackern ermöglichen könnten, das System zu umgehen
- Beschreibung aller gesammelten Daten
- Elemente, bei denen Sicherheitsprotokolle eingeführt oder geändert wurden
- Empfehlungen für Abhilfemaßnahmen gegen künftige Angriffe
Dies ist eine der wichtigsten Phasen der Penetrationstests. Der Bericht hilft dem technischen Personal und den Führungskräften zu verstehen, welche Präventivmaßnahmen zu ergreifen sind. Daher ist es am besten, getrennte Berichte zu erstellen: einen für das technische Team und einen für die nichttechnischen Teammitglieder.
Erneutes Testen
Die letzte Phase eines Penetrationstests ist das erneute Testen. Dabei handelt es sich um eine Bewertung, die nach einem bestimmten Zeitraum (in der Regel 2-3 Monate nach Einreichung des Berichts) durchgeführt wird, um zu prüfen, ob die Schwachstellen behoben wurden.
Die meisten Unternehmen lassen nur kritische Elemente erneut testen. Das ist weitaus kostengünstiger als die Wiederholung eines kompletten Penetrationstests. Unternehmen können auch die Effektivität und die Verbesserung eines Übungs-Penetrationstests bewerten.
Im Wesentlichen wird durch die erneute Prüfung sichergestellt, dass alles korrekt implementiert wurde und das System nun gut gegen künftige Angriffe geschützt ist.
Fazit
Unabhängig von Größe und Branche werden Unternehmen immer anfälliger für Cyberangriffe, da die Zahl der Spoofers zunimmt, insbesondere nach Covid. Im Internet Crime Report 2020 des FBI wird ein Anstieg der gemeldeten Cyberkriminalität um 69% gegenüber 2019 festgestellt.
Hacker haben es sogar auf Schulen und Gesundheitseinrichtungen abgesehen, indem sie Informationen stehlen und Lösegeld fordern.
Umso wichtiger ist es, die Vorteile und Risiken von Penetrationstests und deren fünf Phasen zu kennen.