IT-Sicherheitstests: Vom Schwachstellenscan zum automatisierten Pentesting

Inhaltsverzeichnis

Der Begriff Penetrationstest ist nicht normiert. Unternehmen, die einen Pentest bei einem spezialisierten Dienstleister in Auftrag geben, verfolgen damit unterschiedliche Ziele. Meistens geht es um die Erkennung technischer Schwachstellen – fehlende Patches oder unsichere Konfigurationen –, über die Angreifer dem Unternehmen Daten stehlen oder anderweitig Schaden zufügen können.

Mehr zu: Unternehmenssicherheit

• Security: Wie der Cyberrisiko-Check kleine Unternehmen schützen soll
• Sliver – ein OS-Framework für Red Teams
• TLS-Verschlüsselung: Datenschutz versus Schutz vor Malware
• IT-Sicherheitstests: Vom Schwachstellenscan zum automatisierten Pentesting
• Ukrainekrieg: Auswirkungen auf die IT-Sicherheit in Deutschland
• IT-Versicherungsschutz für kleine Unternehmen und Freelancer
• Security: Ransomware-Angriffsmuster und wie man sich vor ihnen schützt
• Security: So laufen Ransomware-Angriffe heute ab
• IT-Recht: Sicherheitsanforderungen und Rechtsfragen zu Ransomware-Attacken

Im Rahmen eines Penetrationstests wird aber auch manchmal überprüft, wie gut ein Security Operation Center (SOC) Angriffe erkennt und darauf reagiert. Sicherlich wäre dafür Red Teaming die geeignetere Herangehensweise, aber vielen Unternehmen sind die üblichen Abgrenzungen und Details nicht bekannt und Pentesting dient als Sammelbegriff für alles, was irgendwie mit Schwachstellen und Hackertechniken zu tun hat. Pentest ist also ein Begriff, der in der Praxis unterschiedlich wahrgenommen und verwendet wird.

So ist es nicht erstaunlich, dass auch am Markt für Softwareprodukte ganz unterschiedliche Interpretationen zu finden sind. Die Produkte variieren stark: So gibt es Werkzeuge, die einen Prüfer oder ein Unternehmen bei der Suche nach Schwachstellen unterstützen, oder auch solche, die Exploits zur Ausnutzung von Schwachstellen bereitstellen. Hinzu kommen Tools, die Angriffe simulieren, um Alarme zu provozieren. Wieder andere ermitteln lediglich die theoretische Ausnutzbarkeit von Schwachstellen.

Das war die Leseprobe unseres heise-Plus-Artikels " IT-Sicherheitstests: Vom Schwachstellenscan zum automatisierten Pentesting". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.