PM Forum 2017
24.10.17 - 25.10.17
In Nürnberg

PM Forum 2017
24.10.17 - 25.10.17
In Nürnberg

10. gfo-Jahreskongress
25.10.17 - 26.10.17
In Düsseldorf

Google Analytics Summit 2017
09.11.17 - 09.11.17
In Hamburg

Data Driven Business 2017
13.11.17 - 14.11.17
In Berlin

Patrick JungBei der Konzeption einer nachhaltigen IT-Sicherheitsstrategie sind Penetrationstests ein wichtiger Bestandteil, um zu gewährleisten, dass Schwachstellen in der IT-Infrastruktur entdeckt werden, bevor Angreifer dies tun. Ein Kommentar von Patrick Jung, Leiter Professional Services bei secion.

Damit ein umfassender, individualisierter Penetrationstest sowohl für den Kunden als auch für den Tester nachhaltig erfolgreich ist, empfehlen wir von secion zehn essentielle Verhaltens- bzw. Maßnahmenregeln. In der Konsequenz wird Penetrationtesting zum Bestandteil eines erweiterten Maßnahmenpakets.

Erst kürzlich haben neue Bedrohungen wie die schnelle Verbreitung des Erpressungstrojaners Locky gezeigt, dass ausschließlich passive und punktuell durchgeführte Schutzmaßnahmen längst nicht mehr ausreichen, um die IT-Infrastruktur von Firmen und Organisationen dauerhaft zu schützen. Die Problematik: IT-Sicherheitsüberprüfungen wie Penetrationstests finden in der Regel nur unregelmäßig statt. Der Zeitraum zwischen den einzelnen Audits ist zu lang, um neue Angriffe auszuschließen. Die zentrale Frage lautet daher: Wie kann sich ein Unternehmen heutzutage bestmöglich und nachhaltig absichern? Um in der heutigen IT-Systemlandschaft sicher zu sein, müssen Schwachstellen fortlaufend, proaktiv und automatisiert geprüft werden. Daher empfehlen wir unseren Kunden, den Penetrationstest als Basis eines erweiterten Maßnahmenpakets einzusetzen.

Um dieses Maßnahmenpaket zu vervollständigen, bieten sich 24/7-Schwachstellenanalysen als ressourcenschonendes Security-as-a-Service-Modell an. Eine entsprechende Lösung sollte zudem automatisch individualisierte Reports generieren sowie Handlungsempfehlungen konkret und priorisiert benennen. Zu empfehlen ist darüber hinaus ein separater Report für die Geschäftsführung bzw. das Management, der weniger in die technische Tiefe geht, sondern einen umfassenden Überblick über die derzeitige Sicherheitslage der IT-Infrastruktur gibt.

Generell gilt es, bei der Planung bzw. Durchführung eines Penetrationstests folgende Punkte zu beachten, um die Erwartungen des Kunden mit einem effizienten Ergebnis zufriedenzustellen oder gar zu übertreffen:

  1. Enge Zusammenarbeit zwischen Kunden und Dienstleister: Informationen müssen schnell, am besten telefonisch, ausgetauscht werden, da die Reaktionszeit so gering wie möglich gehalten werden muss (bspw. bei der Identifizierung kritischer Schwachstellen). Benennen Sie feste Ansprechpartner auf beiden Seiten und nutzen Sie den kurzen Dienstweg.
     
  2. Definieren Sie die Ziele des Audits! Auf welche Fragen möchten Sie eine Antwort erhalten? Werden beispielsweise bestimmte Compliance-Vorgaben eingehalten? Funktioniert das Patch-Management? Wie regelmäßig werden Server gewartet? Und nicht zu vergessen: Welche Zielgruppe wird den Audit-Bericht erhalten?
     
  3. Nutzen Sie zweistufige Pen-Tests (Blackbox + Whitebox bzw. Greybox), um die realen Bedrohungen mit Ihrer Wahrnehmung abzugleichen. So ist feststellbar, ob ein Angreifer ein bestimmtes Ziel fokussiert. Nutzen Sie auch Tests mit Zugangsdaten, um die Gefahren und Möglichkeiten eines internen Angreifers einschätzen zu können.
     
  4. Definieren Sie Handlungsgrenzen: Darf eine Schwachstelle ausgenutzt oder soll sie nur theoretisch bewertet werden? Geben Sie konkrete Zeitrahmen für die aktiven Tests vor, damit gewährleistet ist, dass die betreffenden Fachabteilungen bzw. Ressourcen effizient besetzt bzw. eingeplant sind. secion empfiehlt, grundsätzlich eine moderate „Angriffsstärke“ zu wählen.
     
  5. Informationen über kritische Schwachstellen, die durch einen Penetrationstest aufgedeckt wurden, müssen sofort an den Kunden weitergegeben werden. Nur so kann gewährleistet werden, dass sie ohne Verzögerung behoben werden.
     
  6. Besprechen Sie Pen-Tests auch mit Ihren Dienstleistern und lassen Sie auch deren Infrastruktur prüfen. Häufig bezahlen Sie für bestimmte Sicherheitsdienstleistungen. So können Sie prüfen, ob diese richtig umgesetzt und wirksam sind.
     
  7. Bereits gemeldete und beseitigte Schwachstellen sollten im Audit-Bericht entsprechend deklariert sein. Nur so kann das Management die Dringlichkeit der zu treffenden Maßnahmen einschätzen. Außerdem wird die Arbeit der IT-Verantwortlichen positiv hervorgehoben.
     
  8. Nutzen Sie die Ergebnispräsentation vor Ort, damit sowohl das Management als auch die Administratoren ihre Fragen platzieren können und ein Know-how-Transfer stattfindet.
     
  9. Regelmäßiges Re-Audit, z.B. alle sechs Monate, zeigen, ob die beschlossenen Maßnahmen erfolgreich durchgeführt wurden oder ob Nachbesserungen erforderlich sind. Generell ist zu beachten, dass sich die Ist-Situation hinsichtlich bestehender und neuer Schwachstellen ständig ändert. Re-Audits stellen sicher, dass regelmäßig auf den gegenwärtigen Ist-Zustand reagiert wird.
     
  10. Planen Sie genügend Vorlauf ein, da einige Dokumente zusätzlich zur Beauftragung geprüft und unterzeichnet werden müssen (u.a. Datenschutzerklärung, Haftbarkeits- und Vertragsvereinbarungen). Hier sind i.d.R. die Rechtsabteilung und die Geschäftsleitung beteiligt, daher sollten vier Wochen vor Beginn des Audits alle Unterlagen vorliegen bzw. auf Vollständigkeit geprüft werden.

Weitere Informationen:

Wie die IT-Sicherheitsexperten im Bereich Next Generation Pentesting vorgehen, lesen Sie hier.

www.secion.de

GRID LIST
Tb W190 H80 Crop Int 7dab5e323d5f10efeed33815116ddb8c

Smartphone-Nutzer haben meist keine Sicherheitslösung installiert

Mehr als die Hälfte der Weltbevölkerung nutzt bereits ein Smartphone und mehr als die…
Tb W190 H80 Crop Int D1a9e4fb59f56aef82a0754bb96c5f75

Umfrage offenbart hohes Cybersicherheits-Risiko | IT-Sicherheit in deutschen Unternehmen

Dringender Handlungsbedarf für deutsche Unternehmen: Das Risiko, Opfer eines…
Tb W190 H80 Crop Int 9168b2ba3e6259e0f1fd673ee066a7c3

Produkt-Performance ist wichtiger als IT-Sicherheit

Im Zweifelsfall ist mehr als zwei Dritteln der deutschen Unternehmen Produkt-Performance…
Tb W190 H80 Crop Int B01d5408433c87e01a881e190b070011

Jeder vierte Internetnutzer besucht keine Bankfiliale mehr

Geld wird zunehmend digital verwaltet und angelegt: Rund jeder vierte Internetnutzer (24…
Tb W190 H80 Crop Int 7b240a672f346adba7106f43f59804b0

IT-Sicherheit bei deutschen Mittelständlern | IT-Security Barometer

Neun von zehn Mittelständler in Deutschland finden es wichtig oder sehr wichtig, dass…
Advanced Analytics

SAS „dominiert“ bei Advanced-Analytics-Plattformen

Die aktuelle BARC-Studie bescheinigt Softwareherstellern besondere Stärken bei…
Frische IT-News gefällig?
IT Newsletter Hier bestellen:

Newsletter IT-Management
Strategien verfeinert mit profunden Beiträgen und frischen Analysen

Newsletter IT-Security
Pikante Fachartikel gewürzt mit Shortnews in Whitepaper-Bouquet