6 Wesentliche Arten von Penetrationstests, die Sie heute kennen sollten
Penetrationstests (auch bekannt als Pen-Testing) sind eine Art von Sicherheitstest, der darauf abzielt, potenzielle Schwachstellen in einem System aufzudecken.
Ein Pen-Test meldet nicht nur gefundene Schwächen, sondern versucht aktiv, diese durch sogenanntes ethisches Hacken auszunutzen.
Warum brauchen wir Pen-Testing? Jeder Angreifer kann ein System unterbrechen oder unbefugten Zugriff erhalten, wenn es nicht gut gesichert ist. Ein Sicherheitsrisiko kann durch unbeabsichtigte Fehler während der Entwicklungs- und Implementierungsphasen von Software entstehen.
Mit Penetrationstests können wir:
- Schwachstellen und Risiken aufdecken, die zu Lecks sensibler Daten führen können
- Phishing und Cyberangriffe verhindern
- Das Vertrauen der Nutzer erhalten, indem ihre sensiblen Daten geschützt werden
- Die Einhaltung von Standards und Vorschriften erreichen
In diesem Artikel gehe ich auf folgende Themen ein:
- Pen-Testing-Methodik
- Die 3 Hauptansätze des Pen-Testing
- Was sind die wichtigsten Arten von Penetrationstests?
Pen-Testing-Methodik
Bevor Penetrationstests durchgeführt werden, werden die Risiken mit einer Schwachstellenanalyse identifiziert. Das bedeutet, dass zuerst die potenziell problematischen Bereiche (wie z. B. die Speicherung von Zugangsdaten) identifiziert und anschließend gezielt angegriffen werden.
Penetrationstests sollten auf alle Orte sensibler Daten, alle Anwendungen, die diese Daten speichern oder mit ihnen interagieren, alle Netzwerkverbindungen und alle relevanten Zugangspunkte abzielen. Pen-Tests versuchen, Sicherheitslücken und Schwachstellen auszunutzen und so in das Netzwerk und die Anwendungen einzudringen.
Ziel des Pen-Testings ist es festzustellen, ob ein unbefugter Zugriff auf kritische Systeme oder Dateien durch böswillige Angreifer möglich ist. Nachdem diese Schwachstellenscans durchgeführt wurden, sollten alle gefundenen Probleme behoben und korrigiert werden.
Die 3 Hauptansätze des Pen-Testing
Wie bei allen Testarten und -methoden können wir je nach Wissenstand und Zugriffsrechten des Testers unterschiedliche Ansätze für das Pen-Testing nutzen. Die Hauptansätze beim Pen-Testing sind White-Box-, Black-Box- und Gray-Box-Testing.
1. White-Box-Penetrationstest
Beim White-Box-Penetrationstest verfügen die Tester über vollständige Kenntnisse und vollen Zugang zum System. Dieser Ansatz ermöglicht sehr detaillierte Tests und bietet die Möglichkeit, auch entfernte oder schwer auffindbare Schwachstellen zu entdecken.
2. Black-Box-Penetrationstest
Black-Box-Penetrationstests sind ein Ansatz, bei dem der Tester keinerlei Kenntnisse über die Funktionsweise des Systems besitzt. Ein Tester würde den Pen-Test wie ein uninformierter Cyberangreifer gestalten.
Dieser Ansatz ähnelt am meisten realen Szenarien, in denen Angreifer keinen Zugriff auf den tatsächlichen Quellcode der Anwendung oder des zu testenden Systems haben.
3. Gray-Box-Penetrationstest
Gray-Box ist das Bindeglied zwischen White-Box- und Black-Box-Testing. Das bedeutet, der Pen-Tester hat eingeschränkte Kenntnisse über das System.
Werfen wir als nächstes einen Blick auf einige verschiedene Arten von Penetrationstests.
Was sind die wichtigsten Arten von Penetrationstests?
1. Webanwendungs-Penetrationstest
Penetrationstests von Websites sind in der Regel gezielter und detaillierter als andere Arten von Pen-Tests. Das Hauptziel besteht darin, Schwachstellen und Cyberrisiken in Websites und ihren Komponenten wie Datenbanken, Quellcode oder Backend-Netzwerk zu finden.
Das Penetration Testing von Webanwendungen ist besonders jetzt wichtig, da ein erheblicher Anstieg der Cyberkriminalität infolge der Covid-19-Pandemie zu verzeichnen ist.
Einige der häufigsten Sicherheitslücken, auf die ein Penetrationstester bei einer Webanwendung achten sollte, sind:
- Unzureichend geschützte Zugangspunkte
- Schwache Passwörter
- SQL-Injection-Angriffe
- Code-Injektion
- Cross-Site-Scripting
- Datenpanne
- Phishing-Angriffe
2. Penetration Testing auf Client-Seite
Dies ist eine Art Test, der lokale Bedrohungen überprüft. Diese Bedrohungen können von jeglichen Anwendungen oder Programmen ausgehen, die auf den Arbeitsplätzen der Mitarbeiter laufen—Browser, Mediaplayer, Open-Source-Programme, Präsentations- oder Content-Erstellungsanwendungen (denken Sie an Microsoft PowerPoint).
Neben Drittanbieter-Apps können auch interne Programme und Frameworks Sicherheitsrisiken verursachen, daher sollten diese unbedingt in die Tests einbezogen werden.
3. Penetration Testing im Netzwerk
Diese Art von Test gehört zu den am häufigsten angefragten Penetrationstests. Ziel ist es, Schwachstellen in der Netzwerkinfrastruktur aufzudecken.
Netzwerke verfügen über interne und externe Zugangspunkte, was sie für Angriffe von Cyberkriminellen anfällig machen kann. Die beiden Unterkategorien beim Penetration Testing im Netzwerk sind: internes und externes Netzwerktesting.
Penetration Testing im internen Netzwerk
Bei dieser Art von Penetrationstest wird davon ausgegangen, dass die Angriffe von innerhalb des Netzwerks erfolgen. Als Penetrationstester nehmen Sie die Rolle einer böswilligen Person ein, die einen gewissen (mehr oder weniger legitimen) Zugang zum internen Netzwerk hat.
Dies kann beispielsweise bedeuten, die Auswirkungen zu analysieren, wenn vertrauliche Informationen unbeabsichtigt offengelegt, verändert, missbraucht oder zerstört werden.
Penetration Testing im externen Netzwerk
In diesem Fall wird das Szenario nachgestellt, dass der Angriff von außerhalb des Netzwerks ausgeht. Die Tester werden versuchen, in das System einzudringen, indem sie Schwachstellen von außen ausnutzen, um so Zugang zu internen Daten und Systemen zu erhalten.
Penetrationstests können sich auf folgende Netzwerksicherheitsrisiken konzentrieren:
Beim Durchführen von Penetrationstests ist es außerdem entscheidend, die Integrität Ihrer Datenmanagement-Plattformen zu prüfen.
4. Social Engineering Testing
Social Engineering unterscheidet sich von anderen Testarten, da hier nicht die technischen Aspekte von Systemen oder Anwendungen im Fokus stehen. Stattdessen verschiebt sich der Fokus auf die Psychologie der Benutzer und Mitarbeiter, was die Sicherheit versehentlich gefährden kann.
So können Sie Social-Engineering-Penetrationstests auf zwei Arten durchführen: remote oder physisch.
Das Remote-Social-Engineering-Testing erfolgt auf elektronischem Weg, etwa über Phishing-E-Mails, die möglicherweise Schadsoftware enthalten. Sollten die Mitarbeiter solche E-Mails öffnen, ist es für das Unternehmen ratsam, mit Sicherheitsschulungen zu beginnen, um echte Angriffe in Zukunft zu verhindern.
Physisches Social-Engineering-Testing bedeutet, tatsächlich mit Menschen zu sprechen und sie zu überreden, sensible Informationen preiszugeben.
Ich weiß nicht, wie es Ihnen geht, aber in den letzten Jahren haben drei der Unternehmen, für die ich gearbeitet habe, solche Tests durchgeführt. Wir als Mitarbeiter haben zum Beispiel E-Mails erhalten, in denen behauptet wurde, wir hätten einen Preis bei Shopping-Websites gewonnen oder besondere Rabatte bekommen. Die E-Mails haben uns aufgefordert, auf einen Link zu klicken oder eine Datei herunterzuladen. Unter normalen Umständen, wenn der Angriff echt und nicht simuliert ist, enthalten die URL oder Anhänge in der Regel Schadsoftware, die Computer infizieren und persönliche oder vertrauliche Daten stehlen kann.
Sie würden sich wundern, wie viele Menschen tatsächlich auf diese Art von Fallen hereinfallen, insbesondere wenn die E-Mail scheinbar von einer vertrauenswürdigen Quelle wie Amazon kommt.
Bitte beachten Sie, dass bei der Durchführung solcher Tests die Geschäftsleitung immer im Voraus informiert werden sollte.
5. Physisches Penetration Testing
Physische Penetrationstests gehen über die digitalen Aspekte hinaus. Um diese Art von Test durchzuführen, müssen Sie beurteilen, wie einfach es ist, physischen Zugang zu einer Einrichtung zu erlangen. Dies kann geschehen, indem man versucht, Sicherheitskontrollen, Sensoren, Überwachungskameras zu umgehen oder sogar versucht, die Türen mit einem Dietrich zu öffnen.
Die Vorteile physischer Tests sind direkt spürbar—Sicherheitslücken können unmittelbar nach ihrer Identifizierung behoben werden.
6. Wireless-Penetrationstests
Angriffe auf drahtlose Netzwerke stellen eine reale Bedrohung für die Sicherheit eines Unternehmens dar. Die Tests werden an allen physischen, drahtlosen Geräten durchgeführt, wie Laptops, Tablets, Smartphones usw., die mit dem WLAN-Netzwerk verbunden sind.
Worauf Sie bei Wireless-Tests achten sollten, umfasst unter anderem:
- Schwächen in der Verschlüsselung
- Sicherheitslücken in drahtlosen Protokollen, Zugangspunkten oder Administratoranmeldedaten
- Standard- oder schwache Passwörter
- Unbefugte Hotspots
- Denial-of-Service-(DoS)-Angriffe
Fazit
Penetrationstests sind sehr wichtig und bringen viele Vorteile mit sich, sind jedoch nicht so einfach durchzuführen wie andere Testarten. Wenn Sie Ihre Fähigkeiten üben möchten, können Sie sich die Demo-App von OWASP anschauen und an einigen Hacking-Herausforderungen teilnehmen.
Ihnen hat dieser Artikel gefallen? Auf The QA Lead finden Sie viele weitere interessante Themen rund um QA – melden Sie sich also unbedingt beim Newsletter an!
Diese Artikel könnten Sie interessieren:
- 5 Hauptphasen des Vulnerability-Management-Prozesses
- So automatisieren Sie die Tests von mobilen Applikationen
Verwandte Tool-Listen:
