Leistungsumfang Pen-Test

Ein Penetrationstest besteht aus den Modulen:

  • Initialworkshop
  • Informationsgewinnung (Information Gathering / Fingerprinting)
  • Schwachstellenanalyse (Hacking) auf Systemebene
  • Schwachstellenanalyse (Hacking) auf Applikationsebene
  • Detaillierte Dokumentation
  • Ergebnispräsentation

Initialworkshop

Zunächst unterzeichnen wir eine Geheimhaltungserklärung, in der wir uns u.a. zur Einhaltung der gesetzlichen Datenschutzbestimmungen verpflichten. Wir führen eine genaue Bestandsaufnahme aller zu prüfenden Module durch und bestimmen anhand dieser den genauen Ablauf des Tests und der Testziele. Es werden die Prüf-Methodik und verwendete Tools vorgestellt und erläutert. Der Datenschutzbeauftragte sollte dabei für ca. eine Stunde anwesend sein, um den Umgang mit eventuell anfallenden personenbezogenen Daten zu klären. Ansprechpartner und Prozeduren für den Fall auftretender Probleme oder unmittelbar zu behebender Sicherheitslücken werden definiert, Notfallrufnummer ausgetauscht und Art des Datenaustauschs festgelegt.

Information Gathering / Fingerprinting

Im nächsten Schritt findet mit folgenden Mitteln die Informationsgewinnung über die Zielsysteme statt:
  • Identifizierung aktiver Systeme
  • Systemidentifizierung (Auswertung von Fingerprints, systemspezifische Dienste, usw.)
  • Ermittlung der aktiven Dienste inklusive Versionsstand
  • Download zugänglicher Webseiten zur weiteren Analyse
  • Durchführen von Transaktionen zur Ermittlung des Session-Handlings, Datenübergabe, etc.
  • Identifizierung der Authentisierungsverfahren und Verschlüsselungsmechanismen

Schwachstellenüberprüfung auf OS-Ebene

  • Benutzerauthentisierung und Zugriffskontrollmechanismen
  • Authentisierungsmechanismus (Vorhersagbarkeit, Stärke des Mechanismus, etc.)
  • Timeout-Mechanismen
  • Wörterbuch- oder Brute-Force-Angriffe auf passwortbasierte Authentisierungsmechanismen
  • Prüfung auf Anfälligkeit gegenüber Man-in-the-Middle-Attacken
  • Verschlüsselungsmechanismen
  • Verschlüsselungsverfahren
  • Schlüsselstärke
  • Aktive Dienste
  • Prüfung auf bekannte Backdoors
  • Ausnutzung von Sicherheitslücken falls Exploits verfügbar (nur nach expliziter Freigabe durch Kunden)
  • Konfigurationsfehler
  • Zugriff auf indexierbare Verzeichnisse
  • Zugriff auf Beispiel-Skripte
  • Nutzung bekannter Schwachstellen der Applikation / des Dienstes

Schwachstellenüberprüfung auf Applikationsebene

  • Test auf Prüfung zulässiger Benutzereingaben (Input Validation)
  • Injection-Versuche (z.B. SQL Injection, Stored Procedures, etc.)
  • Sicherheitsanalyse HTML-Code (Informationspreisgabe durch Kommentare, Prüfung auf versteckte Elemente, etc.)
  • Session Management (Cookies, URL-Rewriting, versteckte Formularelemente, etc.)

Erstellung eines detaillierten Berichts

Wir erstellen einen detaillierten Bericht des Pentests mit folgendem Inhalt:

  • Eine genaue Beschreibung des Ziels der Prüfung und der angewandten Verfahren
  • Die konkrete Vorgehensweise in nachvollziehbarer und reproduzierbarer Form
  • Eine (auch für Nicht-Techniker lesbare) abstrahierte Auswertung der Ergebnisse (Management Summary)
  • Richtlinien & Empfehlungen samt Priorisierung unter Berücksichtigung der
  • Best Practices gemäss ISO27001
  • Die detaillierte Darstellung aller Testergebnisse

Weitere Pen-Test Module


TROOPERS11 - März 2011
Die TROOPERS11 wird vom 14-18. März 2011 in Heidelberg stattfinden. Merken Sie sich schon heute den Termin vor und abonnieren Sie den offiziellen TROOPERS-Newsletter um auf dem neusten Stand zu bleiben. [Mehr]
Penetrationstests
„Ein Penetrations-Test ist der zielgerichtete Versuch, mit den Mitteln eines Angreifers und innerhalb einer gegebenen Zeitspanne Lücken in der IT-Sicherheit aufzudecken.“ [Mehr]
Research & Technologie-Evaluation
Die Arbeit des Research-Teams dient sowohl der internen Weiterbildung als auch unseren Kunden, die durch die Ergebnisse dieser Forschungen Investitionssicherheit erhalten und die allgemeine Sicherheit ihrer IT-Infrastruktur weiter verbessern können. [Mehr]