arrow_back
search
close

Was ist penetration testing (pen testing)?

Penetration Testing

Penetration testing, auch als „Pen-Tests“ oder ethisches Hacking bezeichnet, ist ein methodischer Prozess zur Identifikation von Schwachstellen in Bezug auf die Sicherheit eines Computersystems, eines Netzwerks oder einer Webanwendung. Pen-Tester versuchen, Schwachstellen zu erkennen, die von Akteuren mit böswilligen Absichten missbraucht werden können. Dazu simulieren die Pen-Tester in einer kontrollierten Umgebung reale Angriffe. Das primäre Ziel von Penetration testing besteht darin, Sicherheitslücken zu erkennen und umsetzbare Erkenntnisse zu liefern, um die Abwehrmechanismen einer Organisation zu stärken.

Typen von Penetration testing

Penetration testing können in verschiedene Typen eingeteilt werden, abhängig vom Wissen des Testers über das Zielsystem und vom Testumfang.

  • Black-Box-Penetration testing

    Beim Black-Box-Test weiß der Tester vor der Durchführung des Tests nichts über das System oder das Netzwerk. Dieser Testtyp simuliert einen externen Hacking-Versuch, bei dem der Angreifer ohne interne Informationen agiert. Er ist hilfreich bei der Bewertung, wie gut die Sicherheit der Organisation funktioniert.
  • White-Box-Penetration testing

    Beim White-Box-Test, auch Clear-Box-Test, hat der Tester uneingeschränkten Zugriff auf die Architektur des Systems, den Quellcode und andere wichtige Informationen. Diese Testmethode erlaubt eine vollständige Überprüfung der Systemsicherheit. Dabei wird das System sowohl intern als auch extern bewertet mit dem Ziel, Schwachstellen zu identifizieren.
  • Grey-Box-Penetration testing

    Der Grey-Box-Test ist eine Kombination aus White-Box- und Black-Box-Test. Der Tester weiß nur sehr wenig über das System. Dieser Testtyp simuliert einen Angriff durch einen internen oder externen Hacker, der Kenntnisse über das Ziel hat. Dabei wird der detaillierte Ansatz der White-Box-Tests mit dem Komfort von Black-Box-Tests kombiniert.

Prozess der Penenetrationstests

Penetration testing folgen einem strukturierten Prozess, um eine systematische Bewertung des getesteten Systems zu gewährleisten. Die Hauptphasen lauten:

  • Planung und Sichtung

    Im ersten Schritt werden Umfang und Ziele des Tests bestimmt. Die Tester sammeln dabei möglichst viele Informationen zum Zielsystem, Netzwerk oder zur Anwendung. Dazu gehört die passive und aktive Erkennung, die dazu dient, Domainnamen, IP-Adressen und andere wichtige Informationen zu identifizieren.
  • Scanning

    In der Scanning-Phase nutzen die Tester diverse Techniken, um mögliche Einstiegspunkte und Schwachstellen zu finden. Dazu gehören Port-Scans, Netzwerk-Mapping und Schwachstellen-Scans, um offene Ports, Dienste und Schwachstellen zu erkennen. Ein genaues Scanning ist wichtig, um Bereiche zu identifizieren, die detaillierter analysiert werden müssen.
  • Verschaffen von Zugriff

    Während dieser Phase versuchen die Tester, Zugriff auf das Zielsystem zu erhalten. Dafür nutzen sie Schwachstellen, die sie zuvor gefunden haben. Dabei könnten Techniken wie SQL-Injection, das Knacken von Passwörtern und das Ausnutzen von Softwarefehlern zum Einsatz kommen. Durch den Zugriff auf das System lassen sich die möglichen Auswirkungen eines erfolgreichen Angriffs nachvollziehen.
  • Aufrechterhalten des Zugriffs

    Nachdem sich die Tester Zugriff verschafft haben, versuchen sie, im System präsent zu bleiben. Sie fügen zum Beispiel Hintertüren oder anderer böswillige Software bei. Das soll sicherstellen, dass sie auch nach dem Patchen der anfänglichen Schwachstelle auf das System zugreifen können. Durch Aufrechterhalten des Zugriffs werden echte Szenarien simuliert, bei denen Angreifer über längere Zeit unerkannt bleiben.
  • Analyse und Reportung

    Nach Abschluss des Tests werden die Ergebnisse analysiert und dokumentiert. In diesen Berichten werden die erkannten Schwachstellen, die zu ihrer Ausnutzung angewendeten Techniken und Hinweise zu deren Behebung beschrieben. Diese Phase ist wichtig für ein Unternehmen. Sie dient dazu, die Risiken zu erkennen und Korrekturmaßnahmen durchzuführen. Ein gründliches Reporting liefert einen klaren Plan zur Verbesserung der Sicherheit.

Tools und Techniken bei Penetration testing

Penetrationstester wenden verschiedenste Tools und Techniken an, um ihre Aufgaben effektiv zu erledigen. Einige bekannte Tools sind die folgenden:

  • Nmap

    Nmap (Network Mapper) ist ein robustes Open-Source-Tool für die Netzwerkerkennung und Sicherheitsaudits. Es hilft bei der Identifikation von Live-Hosts, offenen Ports und Diensten, die in einem Netzwerk laufen. Nmap ist aufgrund seiner Effizienz und Vielseitigkeit bei Netzwerkscans weit verbreitet.
  • Metasploit

    Metasploit ist ein bekanntes Open-Source-Penetrationstest-Framework, das Informationen zu Sicherheitslücken liefert. Es ermöglicht Testern die Simulation von realen Angriffen und die Bewertung der Sicherheit ihrer Systeme. Metasploit stellt eine Vielzahl von Exploits bereit und ist deshalb ein fantastisches Tool für Penetrationstester.
  • Burp Suite

    Burp Suite ist eine integrierte Plattform für Tests der Sicherheit von Webanwendungen. Die Suite enthält Tools zum Scannen, Crawlen und Ausnutzen von Schwachstellen in Webanwendungen. Burp Suite ist wichtig für die Erkennung von Schwachstellen wie SQL Injection, XSS und schwacher Authentifizierung. Ihre umfangreichen Funktionen machen die Plattform zur besten Wahl für Tests von Webanwendungen.
  • Wireshark

    Wireshark ist eine Lösung zur Netzwerkprotokollanalyse, die den Netzwerkdatenverkehr in Echtzeit überwacht und analysiert. Sie hilft beim Erkennen verdächtiger Aktivitäten und bei der Diagnose von Netzwerkproblemen. Die Fähigkeit von Wireshark, Netzwerkprotokolle zu analysieren, macht es äußerst nützlich für die Fehlerbehebung und Sicherheitsanalyse.
  • John the Ripper

    John the Ripper ist ein bekanntes Tool zum Knacken von Kennwörtern, das schwache Passwörter identifiziert. Es unterstützt verschiedene Verschlüsselungstechniken und wird dafür verwendet, die Passwortstärke zu ermitteln. Die regelmäßige Überprüfung von Passwörtern mit John the Ripper hilft dabei, die Wirksamkeit von Passwortrichtlinien zu bestätigen.
  • OWASP ZAP

    OWASP ZAP (Zed Attack Proxy) ist ein Open-Source-Scanner für die Sicherheit von Webanwendungen. Die Lösung hilft bei der Erkennung von Sicherheitslücken in Webanwendungen und beinhaltet Tools zum manuellen Testen. Dank der anwenderfreundlichen Oberfläche und leistungsstarken Funktionen ist OWASP ZAP bei Penetrationstestern sehr beliebt.

Nutzen von Penetration testing

Penetration testing bieten zahlreiche Vorteile für Organisationen:

  • Identifikation von Schwachstellen

    Durch Penetration testing können Organisationen Schwachstellen in ihren Systemen, Netzwerken und Anwendungen identifizieren, bevor sie von Hackern angegriffen werden. Organisationen können Datenlecks und Cyberangriffe verhindern, indem sie diese Schwachstellen proaktiv identifizieren und beheben.
  • Schutz sensibler Daten

    Penetration testing schützen sensible Daten, indem sie Sicherheitslücken aufdecken und beheben. Dazu zählen persönliche Informationen, Finanzdaten und geistiges Eigentum. Die Gewährleistung der Sicherheit sensibler Daten ist wichtig, um das Kundenvertrauen aufrecht zu erhalten und rechtliche Konsequenzen zu verhindern.
  • Sicherstellen der Compliance

    Für viele Branchen gelten gesetzliche Anforderungen an Sicherheitstests. Penetration testing unterstützen Organisationen dabei, Standards wie PCI-DSS, HIPAA, GDPR und DORA einzuhalten. Die Tests zeigen, ob angemessene Maßnahmen zur Absicherung der Systeme getroffen wurden. Regelmäßige Tests können dazu beitragen, Bußgelder und rechtliche Probleme bei fehlender Compliance zu vermeiden.
  • Verbesserung der Sicherheitslage

    Regelmäßige Penetration testing helfen Organisationen, ihre allgemeine Sicherheitslage zu verbessern, indem sie ihre Abwehrmaßnahmen gegen Cyber-Bedrohungen kontinuierlich verbessern. Die Tests liefern wertvolle Erkenntnisse über Sicherheitslücken und helfen bei der Entwicklung effektiverer Sicherheitsstrategien. Ein starker Sicherheitsstatus reduziert die Wahrscheinlichkeit erfolgreicher Angriffe.
  • Incident-Response-Test

    Beim Penetrationstest werden auch die Incident-Response-Fähigkeiten einer Organisation bewertet. Der Test trägt dazu bei, Lücken im Reaktionsprozess zu identifizieren. Er stellt sicher, dass das Sicherheitsteam auf die effektive Bewältigung realer Angriffe vorbereitet ist. Eine gute Vorbereitung ist essenziell für die Minimierung der Auswirkungen von Sicherheitsvorfällen.

Was ist penetration testing (pen testing)?

Zugehörige Informationen

・Analyse der Penetrationstest-Tools, die Bedrohungsakteure nutzen, um in Systeme zu gelangen und Daten zu stehlen

Überzeugen Sie sich selbst von der einheitlichen Plattform – kostenlos

Ressourcen

Support

Über Trend

Hauptniederlassung DACH

Trend Micro - Germany (DE)

Parkring 29
85748 Garching
Deutschland

Telefon: +49 (0)89 8393 29700

Land/Region auswählen

close

Nord-, Mittel- und Südamerika

Naher Osten und Afrika

Europa

Asien-Pazifik

Datenschutz | Rechtliches | Sitemap

Copyright ©2024 Trend Micro Incorporated. Alle Rechte vorbehalten

Copyright ©2024 Trend Micro Incorporated. Alle Rechte vorbehalten