In der heutigen digitalen Welt wird es immer wichtiger, sicherzustellen, dass die gesammelten Daten Ihres Unternehmens nicht von anderen gefunden und abgegriffen werden können. Daher sollten Sie kontinuierlich an einer Verbesserung der Sicherheit arbeiten, indem Sie Tests durchführen, um Schwachstellen aufzudecken. Wir wissen, dass Informationssicherheit ein komplexes Thema sein kann. Deshalb werde ich in diesem Artikel den Unterschied zwischen Schwachstellenscans und Penetrationstests erläutern. Ich hoffe, dass Ihnen dies ein besseres Verständnis der Tests und ihrer Bedeutung für Ihr Unternehmen vermittelt.
Schwachstellenscans sind vollständig automatisiert – Sie müssen lediglich angeben, welche Ressourcen gescannt werden sollen. Sie teilen dem System mit, wonach es suchen soll, und dann läuft alles automatisch ab. Durch regelmäßige Schwachstellenscans erhalten Sie einen guten Überblick über Ihren Reifegrad, beispielsweise bei jeder neuen Version. Wenn Sie wöchentlich neue Versionen veröffentlichen, kann es sinnvoll sein, in ein dynamisches oder statisches Schwachstellentool zu investieren.
Beim Schwachstellenscan sucht das System aktiv nach Konfigurationsfehlern oder Schwachstellen, die auf Mängeln oder tatsächlichen Fehlern in Software, Servern, Clients, Switches, Routern usw. beruhen. Oft handelt es sich um ein grundlegendes Problem im Code: Entweder haben Sie unwissentlich etwas falsch gemacht oder etwas ausgelassen, z. B. in der Konfiguration.
Der größte Vorteil eines automatisierten Scans besteht darin, dass Sie viele der „niedrig hängenden Früchte“ finden können, wie z. B. fehlerhafte Authentifizierung, Cross-Site-Scripting (XSS) oder andere Arten von Injektionen. Das ist ein guter Anfang.
Beispiele für die häufigsten Schwachstellen in Webanwendungen finden sich unter anderem in der OWASP (Open Web Application Security Project) Top-10-Liste oder in den Sans Top 25.
Penetrationstests, auch Pen-Tests genannt, sind manuelle Arbeiten. Dabei geht es um mehr als nur die Überprüfung bestehender Schwachstellen. Mit einem Pen-Test dringt man tiefer in das System ein, um Zusammenhänge zu erkennen und ein tieferes Verständnis der Geschäftslogik zu erlangen. Wenn man die Denkweise der Entwickler und die Lösungsansätze versteht, wird man wahrscheinlich weitere Schwachstellen finden, da der menschliche Faktor niemals außer Acht gelassen werden darf. Wir wissen, dass Menschen bei der Installation, Entwicklung und Verwaltung von Systemen Fehler machen. Diese Informationen könnten von einem automatisierten Scan-Tool niemals erfasst werden, da ihm das rationale Denken fehlt, über das wir Menschen verfügen.
Ein Beispiel hierfür ist die Zugriffskontrolle. Ein automatisiertes Scan-Tool für Webanwendungen kann nicht unterscheiden, ob der Zugriff auf bestimmte Daten als Sicherheitsverstoß gilt oder nicht. Wenn ein „Standardbenutzer“ auf Informationen zugreifen kann, auf die eigentlich nur ein Administrator Zugriff haben sollte, dann sind die Zugriffskontrollen unzureichend. Ein Mensch kann dies durch die Analyse der Daten und der Abläufe feststellen.
Eine kurze Geschichte zu einem realen Fall:
„Bei einem unserer früheren Aufträge führten wir Penetrationstests an einer über das Internet zugänglichen Webanwendung durch und fanden eine Reihe von Schwachstellen, darunter eine nicht authentifizierte SQL-Injection. Die Schwachstelle ermöglichte das Auslesen von Daten aus der Datenbank, wie beispielsweise Benutzernamen und Hashes. Nach einer eingehenderen Analyse stellte sich heraus, dass die Hashes manipuliert worden waren. Sobald wir verstanden hatten, wie dies geschah, konnten wir die Passwörter knacken, uns bei der Webanwendung anmelden, Dateien hochladen und Code auf dem Webserver ausführen.“
Über den Webserver erhielten wir vollständigen Zugriff auf das gesamte Produktionsnetzwerk, was den Zugriff über die Domänencontroller ermöglichte. Einer davon wies mehrere Schwachstellen auf und wurde, obwohl er durch einen neuen Domänencontroller und eine neue Domäne ersetzt worden war, weiterhin für die ältere Domäne verwendet. Zwischen der alten und der neuen Domäne bestand eine wechselseitige Vertrauensbeziehung, was bedeutet, dass man – unabhängig davon, ob man über ein Konto in einer Domäne verfügt – Zugriff auf Ressourcen in der anderen Domäne hat. Aufgrund einer Kombination aus mangelhafter Konfiguration, offensichtlichen Softwarefehlern, fehlender logischer Trennung zwischen nach außen exponierten und internen Systemen sowie der Tatsache, dass der Kunde die alte Domäne nicht vollständig außer Betrieb genommen hatte, konnten wir so tief in das Netzwerk und die Systeme des Unternehmens vordringen.“
Hätten Sie lediglich einen Schwachstellenscan der Anwendung durchgeführt und keine Penetrationstests, hätten Sie bestenfalls festgestellt, dass eine SQL-Injection vorlag, nicht jedoch die übrigen Schwachstellen.
Ein häufiges Problem in Unternehmen ist, dass sie diese Tests lediglich als Teil eines Prozesses betrachten, der auf Anforderungen wie PCI-DSS oder DSGVO basiert. Sobald das Unternehmen die roten (hohes Risiko) und violetten (kritisch) Markierungen in seinem Bericht beseitigt hat, betrachtet es die Aufgabe als erledigt. Was mit den Ergebnissen geschieht, wird als weniger wichtig angesehen; der Fokus liegt darauf, die Anforderungen abzuhaken.
Es birgt eine Gefahr, Schwachstellenscans oder Penetrationstests einfach nach dem „Abhak-Prinzip“ durchzuführen. Tatsache ist, dass die Umgebungen in vielen Fällen ein Jahr später meist noch genauso aussehen und dieselben Schwachstellen und Konfigurationsfehler weiterhin bestehen. Es werden dieselben Tests durchgeführt, die dieselben Schwachstellen aufzeigen, was bedeutet, dass sich der Reifegrad um 0 % erhöht. Wie im Beispiel der Webanwendung oben – hätte das Unternehmen die Tests nur durchgeführt, ohne auf die Ergebnisse zu reagieren, hätte dies böse enden können.
Eine bessere Kommunikation und ein besseres Verständnis der Tests und Ergebnisse könnten dieses Problem lösen. Sicherheit ist nicht leicht zu verstehen, weshalb es umso wichtiger ist, Berichte wirklich gründlich durchzugehen und sich bei der Klärung der Inhalte helfen zu lassen. Wenn man die Bedeutung der Ergebnisse nicht versteht, ist es schwierig, Maßnahmen zu ergreifen.
Wenn Sie kein klares Bild davon haben, wie die Sicherheit in Ihren verschiedenen Systemen aussieht, wissen Sie auch nicht, welche Schwachstellen bestehen und wie tief ein Außenstehender in die Systeme eindringen kann. Solange dieses Bild unklar ist, besteht immer das Risiko, dass Sie Angriffen ausgesetzt sind. Dies kann wiederum extrem kostspielige Verluste für Ihr Unternehmen zur Folge haben – nicht nur in finanzieller Hinsicht, sondern auch in Bezug auf Ihren Ruf und den Aufwand zur Behebung der Schäden. Wagen Sie es wirklich, dieses Risiko einzugehen?
Einfach ausgedrückt können Sie sich das Schwachstellenscanning als erste Stufe und Penetrationstests als die nächste Stufe vorstellen. Der Scan ist der Vorläufer von Penetrationstests, jedoch ohne den menschlichen Aspekt. Er dient als Grundlage und deckt die bestehenden, bekannten Schwachstellen auf. Nach dieser Vorarbeit müssen Sie tiefer in die Materie einsteigen, um zu verstehen, wie Entwickler und Administratoren die Systeme eingerichtet haben, Zusammenhänge zu erkennen und sicherzustellen, dass es keine versteckten Hintertüren gibt.
Wenn Ihre Sicherheitsmaßnahmen derzeit unzureichend sind und Sie keine Kontrolle darüber haben, was Sie im Internet offenlegen, besteht ein erhöhtes Risiko, dass Personen, die die Kontrolle über Ihre Infrastruktur übernehmen oder an Ihre Daten gelangen wollen, sich unbefugten Zugriff verschaffen. Daher ist es wichtig, kontinuierlich Tests durchzuführen und auf der Grundlage der Testergebnisse zu handeln. Betrachten Sie dies nicht länger als eine Anforderung, die erfüllt werden muss, sondern als langfristiges Bestreben, ein sichereres System und eine sicherere Umgebung zu schaffen.
Wie bereits erwähnt, wissen wir, dass es schwierig sein kann, im Bereich der IT-Sicherheit den Überblick zu behalten. Aus diesem Grund haben wir ein Webinar zum Thema Anwendungssicherheit organisiert, in dem wir uns mit zentralen Aspekten befassen, beispielsweise wie Sicherheit in den Entwicklungsprozess integriert werden kann, welche Angriffe am häufigsten vorkommen und wann Open Source die richtige Wahl ist. Melden Sie sich an, indem Sie auf das Bild klicken.