Pentest
Als Penetration Test bezeichnet man einen strukturierten, aber unter realen Bedingungen durchgeführten Angriff auf IT-Systeme oder IT-Anwendungen, um mögliche Schwachstellen und Sicherheitslücken aufzudecken.
n diesem Testszenario werden, im Gegensatz zum realen Angriff, alle relevanten Angriffspunkte geprüft, identifiziert und entsprechend Ihres Risikofaktors validiert, so dass das Risiko eines Verlustes der Vertraulichkeit, Integrität und Verfügbarkeit aufgrund der identifizierten Schwachstellen und Sicherheitslücken vermindert wird. Folgende Test-Arten und deren Teilbereiche bieten wir an:
- Klassischer, übergreifender Penetration Test (z.B. Infrastruktur Test, Exploits u.a.m.)
- Fokussierte Tests, wie z.B. Webseiten Audits (u.a. SQL Injection, Cross-Site-Scripting, u.a.m.)
- Social Engineering („Soziale Manipulation“, wie z. B. Phishing, Whaling, u.a.m.)
Unsere Dienstleistungen werden individuell an die Anforderungen und System-Architektur unserer Kunden angepasst und durchgeführt.
White Box Testey Box Box TestGrey Box Test
White-Box-Test bezeichnet einen Penetrationstest, der mit internen Kenntnissen durchgeführt wird. Hierzu werden dem Tester nicht nur die verwendeten Applikationen und Plattformen mitgeteilt, sondern auch detaillierte Informationen zu Quelltexten, Konfigurationsdateien und Prozessen. So können strukturierte Angriffe zielgerichtet auf bestimmte Teile der Infrastruktur vorgenommen werden, das sogenannte „Footprinting“ entfällt.
Nachteil der Methode: Durch die Konzentration auf ganz bestimmte Informationen können mögliche andere Schwachstellen ggf. übersehen werden.
Grey Box Test
Grey-Box-Test ist eine Mischform des White-Box und des Black-Box Tests und die am häufigsten verwendete Methode in der Praxis. Informationen über die Zielsysteme sind überwiegend auf eine IP-Range oder eine URL begrenzt. Dies vereinfacht das Footprinting und ermöglicht einen übergreifenden Test der bekannten Zielsysteme.
Black Box Test
Black-Box-Test ist die aufwendigste Pentest-Methode, da der Tester keine Informationen über die verwendeten Systeme oder IP Adressen erhält. Somit besteht enormer Footprinting-Aufwand, da z.B. Mitarbeiter des Kunden über Phishing E-Mails auf Webseiten gelockt werden müssen, um die IP Adresse des Kunden herauszufinden.
