Penetrationstest in Österreich und Deutschland – Auf Herz und Nieren geprüft
Security Experten schützen die Daten Ihres Unternehmens vor Hacker Angriffen! Wie sicher Computersysteme und Netzwerke wirklich sind, findet man erst durch realitätsnahe IT Penetrationstests (kurz Pentests) heraus, die alle möglichen Lücken offenlegen.
Unsere Expertisen werden von Experten mit mehr als 14-jähriger Erfahrung auf dem Gebiet der Sicherheitstestsanalysen durchgeführt.
Erzielen Sie die besten Ergebnisse durch Experten zertifiziert vom SANS-Institut (www.sans.org).
Sie wissen nicht genau, wie sicher Ihre IT-Umgebung ist?
Sie möchten Ihre Sicherheitslage von jemandem Unabhängigen einschätzen lassen?
Sie möchten wissen, wo sich Hintertüren in Ihrem System befinden?
Sie wollen nachweisen, dass Ihnen Ihre Datensicherheit wichtig ist?
Sie möchten belegen, dass das Unternehmen auch im Bereich der IT-Sicherheit ordnungsgemäß, gewissenhaft und fachlich durch die Geschäftsführung geführt wird?
Welche Lücken Ihre Computersicherheit hat, findet ein gewiefter Hacker rasch heraus – kommen Sie ihm mit Penetrationstests zuvor. Der Pentest wird Ihnen ein klares Bild geben, wo Ihre IT-Systeme gut gesichert sind, wo nicht, und vor allem, was Sie noch brauchen, um die IT-Sicherheit extrem zu verbessern.
Erstklassige Ergebnisse in 7 Schritten
1. Stufe Phase 1 klärt Ihre Erwartungen für die Sicherheits-Prüfung und legt Ihre Ziele fest. Eskalationsstufen für einen Notfall werden fixiert und Ansprechpartner bestimmt. | |
2. Stufe Als Nächstes recherchieren wir über das Zielsystem. Dabei wird auf verfügbare Informationen aus dem Internet zurückgegriffen. Die Informationen kommen dabei von frei zugänglichen Datenbanken. | |
3. Stufe In dieser Phase der Penetrationstests wird das Computersystem zum ersten Mal einer aktiven Prüfung unterzogen. Dabei werden das Betriebssystem Ihrer Computer und die angebotenen Dienste ausfindig gemacht. Dann können auf dem Zielsystem über das sog. „Fingerprinting“ Bezeichnung und Version der Betriebssysteme und Anwendungen in Erfahrung gebracht werden. | |
4. Stufe Der Schwachstellenscan in dieser Stufe ist ein Teil der Security Prüfung. Aufgrund der daraus erhaltenen Informationen kann eine zielgerichtete Suche nach Schwachstellen in bestimmten Betriebssystemen und Anwendungen gestartet werden. | |
5. Stufe Die gefundenen Schwachstellen können in dieser Phase ausgenutzt werden. Der Zweck dahinter ist das Erlangen von Zugriff auf das System bzw. die Vorbereitung von weiteren Angriffen. Ganz gezielt werden Attacken (Exploits) gegen alle Rechnersysteme ausgeführt. | |
6. Stufe In Phase 6 dieser Sicherheitsanalyse findet die Abschlussbewertung statt. Dabei werden ein Abschlussbericht erstellt und eine Zusammenfassung für die Geschäftsleitung angefertigt. | |
7. Stufe Ein abschließender Nachtest folgt nach einer gewissen Zeit als Abschluss des Pentestings. Dies hat sich insbesondere dann als sehr sinnvoll erwiesen, wenn in den vorherigen Phasen Mängel aufgedeckt wurden. Der Test hat das Ziel, die Wirksamkeit der Sicherungsmaßnahmen zu prüfen und so erstklassige IT-Sicherheit zu erreichen. |
Dieses Sicherheitsaudit ist aus der Computersicherheit nicht mehr wegzudenken – itEXPERsT ist als Computersicherheits-Spezialist ein zuverlässiger Partner in Österreich und Experte für professionelle Penetrationstests. Interessieren Sie sich selbst für eine Security-Prüfung? Wir beantworten Ihnen alle Ihre Fragen zum Ablauf einer Security-Analyse und erstellen Ihnen gerne ein Angebot für Ihr System – schicken Sie uns einfach eine E-Mail mit Ihrer Anfrage!
Die Vorteile: IT-Penetrationstest durch Experten – itEXPERsT
Wir beschützen Ihre Firmengeheimnisse.
Wir entdecken die Hintertüren in Ihren Computersystemen und helfen Ihnen, sie zu schließen.
Wir werden dafür sorgen, dass sich Ihre Investitionen in Ihre zukünftige IT-Sicherheit auch wirklich lohnen.
Wir treffen Vorkehrungen gegen Beschädigungen Ihres Computernetzes.
Ihre eigene Sicherheit schützt damit auch Ihre Kunden.
Das sind die 5 Gründe, warum Sie Ihre heiklen Systeme gerade uns anvertrauen sollten:
- Die zertifizierten Experten vom US-Sicherheitsinstitut SANS erbringen den Nachweis, dass wir über das Know-how verfügen, um Security-Expertisen erfolgreich und sicher abzuwickeln.
- Wir streben stets nachhaltige Topleistungen an. Das ist unsere Denkweise, das ist die Forderung an uns selbst. Wir wissen, dass diese Zertifizierung uns befähigt, die Dienstleistung professionell ausüben zu können. Wir werden wirklich gut, indem wir immer dazu lernen und alle unsere neuen Erfahrungen in den stetigen Kreislauf der Verbesserung einfließen lassen.
- Qualität, Ehrlichkeit und Zuverlässigkeit, das sind die Bausteine unseres Wertebewusstseins. Nach ihnen richten wir uns aus. Wir sind davon überzeugt, dass unser Wort so viel Gültigkeit hat wie eine schriftlich festgehaltene Vereinbarung.
- Allerhöchste Diskretion versteht sich für uns von selbst. Unter den von uns betreuten Kunden sind Unternehmen aus den Bereichen des Bankwesens, der Produktion und Industrie, der Dienstleistung, dem Versicherungssektor, der Medienbranche, Flughafenverwaltungen und noch viele weitere. Sie können sich auf unsere Diskretion verlassen.
- NGOs erhalten 10% Rabatt. Wenn Sie Menschen und Unternehmen mit sozialer Verantwortung schätzen, geht es Ihnen genau wie uns. Für uns sind sie wichtig. Wir bieten daher NGOs unsere Dienstleistungen mit einem Rabatt von 10% an. Fragen Sie uns nach einem NGO-Rabatt.
FAQs zu unserem IT-Penetrationstest
Was ist ein Pentest eigentlich genau?
Ein professioneller Penetrationstest ist elementarer Teil jedes Sicherheitsaudits und überprüft Ihre IT-Infrastruktur/Webanwendung systematisch nach Schwachstellen. Pentests sind damit erlaubte Angriffe auf Computersysteme, um die Sicherheit zu verbessern. Die Vorgehensweise ähnelt der von potentiellen Hackerangriffen. Beim Pentesting wird versucht – soweit möglich – in die Computersysteme einzubrechen. Damit wendet der IT-Penetrationstest eine Vorgehensweise an, die im Wesentlichen der eines Hackers entspricht.
Die meisten IT-Sicherheitsexperten und Sicherheitsgremien (SANS, BSI, Bruce Schneier, PCI u.v.m.) sehen Penetrationstests als die am effektivsten wirksame Maßnahme zur Gewährleistung einer sehr guten IT-Sicherheit an.
Eine Aussage von Bruce Schneier: „Die Mathematik ist tadellos, die Computer sind besiegbar, die Netzwerke lausig und die Mitarbeiter unberechenbar.“ Selbst eine sehr kleine Unachtsamkeit kann heute ungeahnte Zugänge auf Ihrem Rechnersystem offenlegen. Niemand ist fehlerfrei, auch wenn das ein Wunschgedanke ist. Und Software ist ebenfalls nicht fehlerlos und kann wohl auch niemals fehlerlos werden. Wichtig für das Überleben eines Betriebs ist ein richtiger Umgang mit Sicherheitslücken und anderen Fehlern.
Ein solcher richtiger Umgang mit gefundenen Fehlern, also das Aufzeigen von Sicherheitsschwachstellen, um so Hintertüren schließen zu können, wird durch IT-Penetrationstests ermöglicht.
Mit den eigenen Waffen geschlagen – das Konzept hinter dem IT-Pentetrationstest
Ein Penetrationstest kann in mehrere Phasen unterteilt werden. Unsere Sicherheitstests werden natürlich immer den individuellen Anforderungen angepasst und verändert. Gleichzeitig haben sich – wie bei einem echten Hackerangriff – folgende Phasen als zentral herauskristallisiert.
Reconnaissance (auch Recon genannt, Informationsbeschaffung, Informationsgewinnung)
Die Informationsbeschaffung steht für unsere Penetrationstester an erster Stelle. Frei im Internet zugänglichen Informationen werden nach Verwertbarem durchstöbert. Andere Bezeichnungen hierfür sind Reconnaissance, Enumeration oder auch Recon.
Dabei werden alle möglichen Daten zusammengetragen, die bei einem wirklichen Einbruchsversuch von Nutzen sein könnten. Es kommt durchaus immer wieder vor, dass Administratoren oder Mitarbeiter eines Unternehmens im Internet Details der Systemkonfiguration veröffentlichen.
Einträge, z.B. in whois und DNS-Datenbanken, werden durchsucht und über Suchmaschinen und weitere Quellen werden Abfragen gestartet.
Scanphase
Mit den daraus gewonnen Informationen erfolgt die Erkundung des IT-Netzwerks des Unternehmens. Es wird getestet, welche Systeme eigentlich vorhanden sind. Wurden alle Server, Firewall, Datenspeicher usw. gefunden, beginnt die Scanphase. Dabei testet ein Scanner, welche Dienste auf den jeweiligen Servern zur Verfügung stehen, welche Softwareversion eingesetzt wird, über welches Betriebssystem der Server verfügt, wie die Firewall-Regeln eingestellt sind, welche Zugangswege offen sind u.v.m.
In dieser Scanphase erfolgt eine erste Begutachtung. Die Ergebnisse daraus werden beurteilt und verifiziert, erste Rückschlüsse gezogen. Damit kann recht schnell erkannt werden, welche Angriffsmöglichkeiten gegeben sind.
Schwachstellenscan (Vulnerabilityscan)
Der nächste Schritt nach der Scanphase ist die Verwendung eines Schwachstellenscanners. Hierbei werden alle verfügbaren Dienste auf Schwachstellen geprüft. Das Ergebnis hieraus liefert am Schluss ein sehr detailliertes Abbild des IT-Netzwerks. Die Lücken jedes einzelnen Dienstes werden so offen gelegt. Die Angriffsmöglichkeiten werden damit verfeinert und konkretisiert, sodass sehr effizient mit der nächsten Phase begonnen werden kann.
Exploitphase (der eigentliche Einbruch)
Nun folgt die Exploitphase. Hierbei werden abgestimmte Programme (sogenannte Exploits) gezielt auf die entdeckten Schwachstellen angesetzt. Die Exploits nutzen die Schwachstellen aus und können beispielsweise zu folgendem Ergebnis führen: Zugriff auf das Betriebssystem ist direkt möglich, beliebige Programme können gestartet werden oder sogar Benutzerrechte manipulierbar sein. Worst-Case-Szenarien treten damit ein und das Computersystem könnte von Angreifern übernommen werden.
Gezielte Attacken werden gegen die Rechnersysteme durchgeführt. Der Zweck der Exploitphase besteht darin, einen direkten Systemzugriff zu erhalten. Weiters können auch andere Angriffe auf weitere Teile des Systems – durch verseuchte Server und Dienste – eingeleitet werden.
Auswertungs- und Berichtsphase
Die Testserie wird durch eine Auswertungs- und Berichtphase abgerundet. Siehe auch „Das Ergebnis eines IT-Penetrationstests – was ist das?“
Mit welchem Aufwand ist dabei zu rechnen?
Generell wird zwischen Infrastruktur-Penetrationstest und Webanwendungs-Penetrationstest unterschieden.
Bei einem Infrastruktur-Penetrationstest besteht ein wichtiger Faktor in der Anzahl der extern erreichbaren Server. Dies natürlich nur für den Fall, dass ein externes Pentesting ausgeführt werden soll. Weiter ist der Aufwand von der Komplexität und Größe des Computernetzwerks abhängig.
Wir unterbreiten Ihnen gerne ein präzises Angebot für einen Penetrationstest Ihrer individuellen Infrastruktur. Bitte nehmen Sie hierfür mit uns Kontakt auf.
Webanwendungs-Penetrationstests sind gesondert zu betrachten, was den Aufwand betrifft. Hier besteht das Ziel darin, die gesamte Anwendung bezüglich Schwachstellen, Fehlern und Sicherheitslücken zu überprüfen. Dazu zählen z.B. auch Authentifizierungs- und Autorisierungstests (Privilegien-Eskalation horizontal und vertikal), Session-Management-Sicherheitstests, Angriffe auf Benutzereingaben, Injection-Tests, Fehler in der Logik, Webanwendungsmanagement und die clientseitige Sicherheit (Cross-Site-Scripting in allen Variationen).
So gut wie jede Webapplikation besteht aus einer Sammlung von individuellen Prozeduren und ist sehr inhomogen. Auch Standardanwendungen werden durch Verwendung von Plugins und Add-ons erweitert und dadurch sehr individualisiert. Um Ihnen eine exakte Einschätzung zu Ihren Webanwendungen geben zu können, müssen wir uns zunächst kurz durch die vorhandenen Webapplikation durchklicken und die jeweiligen Funktionen kennenlernen. Die Testdauer ist abhängig von der Komplexität und von der Funktion der Webanwendungen. Beispielsweise muss jede Benutzereingabe mit mehreren Tests durchlaufen werden.
Haben Sie Fragen zu unseren Webanwendungs-Penetrationstests? Bitte kontaktieren Sie uns.
Das Ergebnis eines IT-Penetrationstests – was ist das?
Als Ergebnis eines Infrastruktur-Penetrationstest erhalten Sie von uns zwei Berichte. Zuerst erstellen wir den Management-Report, der alle Ergebnisse kurz und knapp auflistet. Selbst für IT-Anwender ist dieser leicht verständlich.
Im Anhang an diesen Management-Report findet sich der zweite Bericht. Hier werden alle gefundenen Sicherheitslücken – kritische, schwerwiegende und mittlere Lücken beschrieben. Die Ursachen der gefundenen Schwachstellen werden aufgezeigt und die weiterführende Dokumentation aufgelistet. Technisch sind Einzelheiten aufgeführt, damit Sie effiziente und schnelle Abhilfe zur Schließung der Lücken schaffen können.
Als zusätzliche Option können wir noch eine kurze Zusammenfassung erstellen. Dies ist bei großen Netzwerksystemen anzuraten. Darin werden alle gefundenen Sicherheitslücken des gesamten Computernetzwerks aufgelistet, allerdings sortiert nach den Sicherheitslücken. Das erleichtert es, alle von einer Lücke betroffenen Systeme zu identifizieren.
Ein zusätzliches Highlight: Unsere Kunden erhalten ein Zertifikat über den durchgeführten IT-Penetrationstest. Es bestätigt, dass sie sorgsam und sicher mit ihren Daten und den Daten ihrer Kunden umgehen. Dadurch ist auch belegt, dass die Geschäftsführung die IT-Sicherheit nach dem Stand der Technik gewissenhaft und sorgfältig handhabt.
Das Ergebnis des Webanwendungs-Penetrationstests umfasst ebenso Management-Report und Zusammenfassung, technische Details und Vorschläge zur Schließung der Sicherheitslücken.
Sie wollen doch nur eine Lösung verkaufen! Sind Sie überhaupt unabhängig?
Unsere Dienstleistungen sind IT-Pentestings. Den Kunden beantworten wir: Wie sicher ist ihre IT, wo haben sich Sicherheitslücken und Hintertüren versteckt und worin bestehen ist die Lösungen?
Wir bieten keine Software- oder Hardwarelösung an, um die gefundenen Probleme zu beseitigen. Unser Ergebnis sind eine Bestandsaufnahme der Sicherheit und Vorschläge, wie eine Problemlösung durch Ihre IT-Abteilung umgesetzt werden kann. Sollte das eventuell einmal nicht möglich sein, können wir Ihnen gerne Partner empfehlen, mit denen wir gemeinsame Projekte erfolgreich ausgeführt haben.
Die Vorgehensweise beim IT-Penetrationstest
Durch Pentests decken wir Ihre Sicherheitslücken auf, bevor die Hacker sie ausnutzen!
Bei Penetrationstests ist eine Unterteilung sinnvoll. Einerseits gibt es sogenannte Blackbox-Penetrationstests und andererseits Whitebox-Penetrationstests. Hier wird nach dem Kenntnisstand des Penetrationtesters unterschieden.
Die zu prüfenden Objekte sind bei einem Blackbox-Pentest unbekannt. Der Pentester weiß dabei nicht, auf welche Systeme er trifft. Dagegen weiß der Tester bei Whitebox-Pentests schon im Vorhinein, welche Infrastruktur er testet, da ihm Betriebssystem, Zweck der Systeme und angebotene Dienste bekannt sind.
Bei einem Pentest kann dem Test das gesamte IT-Netzwerk oder auch nur einzelne Bereiche wie ein VPN-Anbindung, eine Webanwendung oder das Funknetz zu Grunde liegen.
Die organisatorische Vorgehensweise bei IT-Penetrationstests
Einführungsbesprechung: Die aktuellen Anliegen und zukünftigen Erwartungen an den Pentest werden geklärt.
Zielbestimmung: Hier wird festgelegt und erörtert, welche Systeme getestet werden.
Schwachstellen-Analyse: Der Schwachstellenscanner kommt zum Einsatz, Exploits werden erstellt und gegen die Systeme ausgeführt. Hier wird das eigentliche Pentesting durchgeführt.
Auswertung der Ergebnisse: Die Berichte werden mit einer starken Chiffre verschlüsselt per E-Mail versandt. Damit ist die Sicherheit der doch sehr vertraulichen Daten gewährleistet.
Erörterung: Die Ergebnisse werden in einem Termin erläutert, Fragen können geklärt werden. Die Möglichkeiten zur Schließung der gefundenen Sicherheitslücken werden besprochen.
Nachkontrolle: Etwa 4 Wochen danach erfolgt als Kontrolle ein Test, der als Abschluss des Pentests zu sehen ist. Die Maßnahmen belegen die IT-Sicherheit der IT-Infrastruktur.
Der Lebenszyklus des Penetrationstests und das technische Vorgehen
Der reine Pentest lässt sich in fünf Stufen unterteilen. Die Stufen 2 – 4 werden meistens mehrmals wiederholend durchlaufen.
Stufe 1: Erforschung: Hierbei suchen wir nach im Internet frei verfügbaren Informationen.
Stufe 2: Scan-Phase: Gesucht werden offene Wege zu den Computern. Das System wird hierbei erstmals „angefasst“.
Stufe 3: Enumeration: Diese Phase läuft oft zeitgleich mit der Stufe 2 ab. Sie hat das Ziel, durch die Sicherheits-Prüfung echte, brauchbare Informationen zu erhalten. Scanner liefern hier oft nur unklare Aussagen. Um die Angriffe erfolgreich auszuführen, ist es notwendig, möglichst genaue Informationen über das System zu erhalten.
Stufe 4: Exploitphase: Die gefundenen Schwachstellen müssen nun ausgenutzt werden, um reelle Angriffe auf das System durchzuführen. Damit werden vorhandene Sicherheitslücken und Schwachstellen aufgedeckt.
Wiederholung der Stufen 2 bis 4.
Stufe 5: Auswertung und Berichterstellung: Um die tatsächliche Sicherheitslage realistisch einschätzen zu können, ist ein detaillierter und umfassender Bericht nötig. Das Management kann aus den Management-Reports dementsprechende Maßnahmen ableiten, um zu einer sehr guten IT-Sicherheit zu gelangen.
Weiterführende Themen:
- Begriffserklärung von IT-Penetetrationstests, Unterschiede und Methoden
- Penetrationstest von Web-Anwendungen
- Penetrationstest von WLANs
- Penetrationstest von VPN-Server