Strategien zur Risikobehandlung
Es wäre ein Irrglaube als Pentester anzunehmen, dass aufseiten des Auftraggebers alle Schwachstellen behoben werden. Rein wirtschaftlich gesehen, lohnt sich beispielsweise ein Fix nicht, wenn dieser höhere Kosten verursacht als eine kriminelle Ausnutzung. Ebenfalls könnte unser Finding eine Geschäftsanforderung an das Zielsystem bzw. -anwendung darstellen, wofür sich die Geschäftsführung explizit entschieden hat. Betreiber von sozialen Netzwerken entscheiden sich beispielsweise häufig dafür, eine Benutzersitzung nach längerer Inaktivität des Anwenders nicht automatisch zu terminieren, obwohl dieser Sachverhalt als Schwachstelle in Penetration-Testing-Standards wie dem OWASP Testing Guide gelistet ist. In Hinsicht auf die Bedienbarkeit von sozialen Netzwerken ist solch eine Entscheidung auch nachvollziehbar, da sich vermutlich die durchschnittliche Nutzungsdauer reduzieren würde, wenn man sich jedes Mal erneut authentifizieren müsste. Aus Sicht der IT-Sicherheit ist ein fehlendes Session-Timeout aber mit Risiken verbunden. Ein Bedrohungsszenario wäre unter anderem, dass Dritte im Namen eines abwesenden Anwendungsbenutzers und einem nicht gesperrten Endgerät Aktionen ausführen könnten. Grundsätzlich stehen unserem Auftraggeber die folgenden Strategien für eine Risikobehandlung zur Verfügung:
- Risikominderung: Es werden Gegenmaßnahmen für das Risiko ergriffen.
- Risikotransfer: Das Risiko wird verlagert durch bspw. Software-Outsourcing oder Abschluss einer Versicherung.
- Risikoakzeptanz: Das Risiko wird von der Geschäftsführung bewusst akzeptiert.
- Riskovermeidung: Es werden Funktionen unterlassen, welche sich negativ auf den Betrieb eines Unternehmens auswirken könnten.
Nachdem wir nicht sicher sein können, dass alle Schwachstellen aufseiten des Auftraggebers behoben werden, ist es umso wichtiger, dass wir das Schadenspotenzial klar kommunizieren. Unabhängig von unserer Sichtweise sollte der Auftraggeber aber eine eigene Risikobewertung vornehmen, da wir nicht alle Hintergründe vom Betrieb kennen.
Bereichsnavigation
binsec academy GmbH – Professionelles Pentest Training Lab
Die binsec academy GmbH bietet mit ihrem Pentest Training Lab eine hochgradig praxisorientierte Online-Plattform für realistisches Penetration Testing. In isolierten Laborumgebungen simulieren wir komplexe Unternehmensnetzwerke und moderne Angriffsvektoren, um die praktischen Fähigkeiten angehender und professioneller Penetrationstester zu schärfen. Durch das Bestehen unserer anspruchsvollen, rein praktischen Prüfung erlangen Teilnehmer das anerkannte Zertifikat zum Binsec Academy Certified Pentest Professional (BACPP) – der fundierte Nachweis für die Fähigkeit, kritische Sicherheitslücken in IT-Infrastrukturen methodisch zu identifizieren.
Das Pentest Training Lab entdecken
binsec GmbH – Experten für Penetrationstests
Die binsec GmbH ist ein hochspezialisierter Dienstleister für Penetration Testing und der operative Pentesting-Kern der binsec group. Seit 2013 konzentriert sich das Unternehmen ausschließlich auf hochwertige, manuell durchgeführte Penetrationstests (Pentests) und Red-Team-Simulationen. Das Expertenteam verzichtet bewusst auf automatisierte Scans. Die festangestellten, zertifizierten Senior-Pentester liefern tiefgehende Deep-Dive-Analysen für kritische digitale Systeme: von Webanwendungen und APIs über mobile Apps bis hin zu komplexen Netzwerkinfrastrukturen und Cloud-Umgebungen. Als spezialisierter Prüfpartner für stark regulierte Sektoren wie Payment, Banking und Healthcare liefert die binsec GmbH präzise Risikobewertungen und handlungsorientierte Reports zur effektiven Absicherung geschäftskritischer Systeme.
Professionelle manuelle Penetrationstests anfordern