Die 5 Phasen eines Pentests (einfach erklärt)

mit einem penest das ist die Kurzform für Penetrationstest verfolgt man laut Bundesamt für Sicherheiten der Informationstechnik die folgenden vier Ziele Erhöhung der Sicherheit der technischen Systeme Identifikation von Schwachstellen Bestätigung der IT-Sicherheit durch einen externen Dritten Erhöhung der Sicherheit der organisatorischen und personellen Infrastruktur für die Umsetzung des PEN Tests geht man nach einem bestimmten Schema vor das sich in insgesamt fünf Phasen unterteilen lässt in diesem Video werden wir uns diese fünf Phasen einmal genauer anschauen damit du lernst wie du später im Job bei einem Kunden vorgehen kannst diese Phasen lassen sich übrigens mit kleinen Anpassungen auch auf back Bounty Programme anwenden zudem gibt es Parallelen zu den fünf Phasen eines hackingangriffs zu den ich bereits ein Video gedreht habe dass du unten in der Videobeschreibung verlinkt findest okay beginnen wir nun aber direkt mit der ersten Phase die bereits entscheidend für den Gesamterfolg des Projekts ist hier werden den enger Abstimmung mit dem Auftraggeber die Ziele des Tests definiert das umfasst vor allem das Festlegen des testumfangs damit steht und fällt auch die Zufriedenheit des Kunden denn dieser geht möglicherweise sonst von völlig anderen und teils auch unrealistischen Zielen aus die Einhaltung rechtlicher und vertraglicher Rahmenbedingungen ist ebenfalls wichtig um mögliche rechtliche Konsequenzen zu vermeiden es wird ein genauer Plan entwickelt der auch die möglichen Risiken die vorgehen Weise und den scope festhält denn wenn beispielsweise durch den Einsatz nicht abgesprochener Techniken oder unbesprochenen Risiken ein Produktivsystem ausfällt kann der Auftraggeber vom pentester Schadensersatz fordern weshalb die in der Vorbereitungsphase getroffenen Absprachen und Vereinbarungen unbedingt schriftlich in einem Vertrag dokumentiert werden sollten um Missverständnisse zu vermeiden und um eine klare Grundlage für den pentest zu schaffen auf die sich beide Seiten berufen können im Rahmen des backbounty Programms dritt der pentester der hier als backbounty Hunter bezeichnet wird in der Regel nicht persönlich mit den Verantwortlichen innerhalb der Organisationen Kontakt stattdessen konsultiert er die entsprechende back Bounty Richtlinie in der klar geregelt ist was gemacht werden darf und was nicht erlaubt ist alles was in scope liegt und nicht erlaubt ist alles was sich out of scope befindet solche Engineering oder dedos Attacken sind typischerweise etwas das out of scope liegt nachdem die Rahmenbedingungen klar definiert sind beginnt die Phase der Informationsbeschaffung diese zieht darauf ab eine umfassende Sicht auf die zielorganisation zu erlangen ind dem relevante Informationen über die Systeme und Netzwerke gesammelt werden dieser Schritt wird oft als passiver Penetrationstest bezeichnet die Dauer dieser Phase kann je nach Umfang und Komplexität des zu testenden Netzwerks variieren und erfordert eine sorgfältige Planung stellen wir uns beispielsweise ein Unternehmen vor das 200 verschiedene Server betreibt für jeden dieser 200 Server müssen bei einem vollständigen Portscan 65536 Ports gescannt werden was sehr viel Zeit in Anspruch nehmen kann natürlich wird man diesen massenscan nicht händisch sondern automatisiert durch doch so wie wir bei einer hatten Arbeit wie dem Rändern nicht aktiv am Rechner sein müssen bremst es die weiteren Arbeitsschritte gegebenenfalls aus da die entsprechenden Rechenressourcen fehlen oder wir erst auf die Ergebnisse warten müssen daneben gibt es ja nicht nur den portsan sondern auch weitere Maßnahmen wie beispielsweise das kartieren der Softwarelandschaft die eingesetzten Technologien etc du solltest bei einem penttest also einplanen dass die Informationsbeschaffung viel Zeit in Anspruch nehmen kann in der dritten Phase werden die gesammelten Daten ausgewertet um die Schwachstellen und die damit verbundenen Risiken zu identifizieren hierbei wird eine Risikoanalyse durchgeführt die auf den Informationen aus der vorherigen Phase basiert diese Analyse ist entscheidend um zu verstehen welche Schwachstellen ausgenutzt werden könnten und welche potenziellen Auswirkungen ein Angriff haben könnte da die Schritte zum aktiven eindring mitunter sehr aufwendig sein können und man auch bei einem pentest die Wirtschaftlichkeit im Hinterkopf behalten sollte ist diese Phase ernst zunhmen es bringt nichts blind drauf losz testen und einen sehr Zeit bzw kostenintensiven Test zu starten wenn das Risiko dahinter in W sehr gering ist wenn man sich die Landkarte mit allen Systemen aus der vorherigen Phase betrachtet sollte man vor allem die auswählen für die es entweder bekannte Schwachstellen gibt oder in denen sich der pentester technisch sehr gut auskennt das ist übrigens einer der größten Irrtümer niemand erwartet dass du während des Tests eine Vielzahl von noch nicht bekannten Exploits findest es geht viel mehr darum ein System gegen bekannte Schwachstellen zu testen und so abzusich dass man mit bisher bekannten Angriffstechniken nicht durchkommt die mittlerweile bekannte lock4j Schwachstelle gab es auch schon lange bevor sie entdeckt wurde und trotzdem würde man nicht sagen dass alle penests bis dahin schlecht waren weil sie diese Lücke übersehen haben in der vierten Phase wird versucht aktiv in das System einzudringen das natürlich mit großen Sicherheitsrisiken verbunden weshalb hier besondere Vorsicht weiten zu lassen ist in dieser Phase zeigt sich auch ob die vermeintlich identifizierten Schwachstellen in der Praxis tatsächliche Risiken darstellen das Ziel besteht darin zu verifizieren ob und wie ein Angreifer Zugang zu Systemressourcen erhalten könnte diese Tests müssen kontrolliert und verantwortungsbewusst durchgeführt werden um keine Schäden am Zielsystem zu verursachen insbesondere bei System mit hochverfügbarkeitsanforderungen müssen die Konsequenzen die beim ausnutzen bestimmter Sicherheitslücken Folgen können genau abgewogen werden um weitere Schäden zu ver hindern bei back Bounty Programm muss man dann noch genauer hinschauen der backbounty Hunter muss sicherstellen dass er wirklich innerhalb des vorgegebenen Scopes operiert um keinen Schaden anzurichten beispielsweise sind bestimmte Systeme die einfache verarbeitungsaufgaben übernehmen nicht auf einen vollen nmap Scan ausgelegt und könnten unter der damit verbundenen anfragenflut zusammenbrechen wird ein Whitebox Test durchgeführt dann müssen bei kritischen System vor dem Test eventuell verfügbare Patches installiert werden um einen Ausfall des Systems zu verhindern dadurch kann es passieren dass keine neue Schwachstelle aufgedeckt bekannte jedoch geschlossen werden die letzte Phase des pentests umfasst die Aufbereitung der Testergebnisse in einem umfassenden Abschlussbericht dieser enthält detaillierte Information über die durchgeführten Tests die ausgenutzten Schwachstellen und die daraus resultierenden Sicherheitsrisiken außerdem werden Empfehlungen für Maßnahmen zur Behebung der identifizierten Sicherheitslücken und zur Verbesserung der allgemeinen Sicherheitsstrategie gegeben die Ergebnisse und Risiken sollten mit dem Auftraggeber auf Basis des Berichts ausführlich besprochen werden dabei ist wichtig dass der pentester die Ergebnisse nachvollziehbar und verständlich vermittelt damit der Auftraggeber entsprechende Handlungen ableiten kann der pentester schreibt nicht vor welche Maßnahmen jetzt zu ergreifend sind sondern gibt lediglich Handlungsempfehlungen zudem ist zu beachten dass ein penttest immer nur eine Momentaufnahme darstellt er kann keine Aussagen über das zukünftige Sicherheitsniveau der Organisation geben und müss V eine erneute sicherheitsbeurteilung wiederholt werden bei backboundy Programm reicht man eine Art writeup beim jeweiligen Unternehmen ein indem man mitchreibt welches Problem man gefunden hat und wie es reproduziert werden kann und sogenannter Proof of Concept eben oft werden auch Vordruck oder Navigationsmenüs auf den jeweiligen Webseiten zur Verfügung gestellt über die der B die Hunter möglichst präzise den Bereich in dem die Sicherheitslücke liegt definieren kann dadurch kann das Problem intern direkt an den richtigen Ansprechpartner bzw Experten weitergeleitet werden jede dieser Phasen ist entscheidend für den Erfolg eines pentests und trägt dazu bei die Sicherheit einer Anwendung oder einer ganzen Organisation zu erhöhen solltest du weitere Fragen haben kannst du sie gerne unten in den Kommentaren posten vielen Dank fürs zusehen und bis zum nächsten Video