Open Source Security Testing Methodology Manual (OSSTMM)

Einführung

Die OSSTMM (Open Source Security Testing Methodology Manual) ist ein frei verfügbarer Standard zur Durchführung von Sicherheitstests. Sie wird vom ISECOM (Institute for Security and Open Methodologies) entwickelt und gepflegt und stellt einen methodischen Rahmen für objektive und messbare Sicherheitsanalysen bereit.

Im Gegensatz zu vielen anderen Leitfäden verfolgt die OSSTMM einen stark formalisierten Ansatz. Ziel ist es, Sicherheit nicht nur qualitativ zu bewerten, sondern quantifizierbar und vergleichbar zu machen. Der Fokus liegt dabei nicht ausschließlich auf Webanwendungen, sondern auf einer ganzheitlichen Betrachtung von Sicherheit über verschiedene Kommunikationskanäle hinweg.

Die offizielle Dokumentation ist öffentlich verfügbar unter:
https://www.isecom.org/OSSTMM.3.pdf

Zielsetzung

Die OSSTMM verfolgt mehrere zentrale Ziele:

• Bereitstellung einer wissenschaftlich fundierten Testmethodik
• Messbarkeit und Vergleichbarkeit von Sicherheit
• Standardisierung von Sicherheitsanalysen
• Trennung von subjektiver Bewertung und objektiven Messergebnissen

Ein wesentlicher Unterschied zu anderen Standards ist der Anspruch, Sicherheit anhand definierter Metriken zu bewerten.

Struktur der OSSTMM

Die OSSTMM strukturiert Sicherheitstests entlang sogenannter Operational Security Metrics und definiert klare Testbereiche, die als Channels bezeichnet werden.

Human Security Channel
Untersuchung menschlicher Faktoren:

• Social Engineering
• Sicherheitsbewusstsein
• organisatorische Schwächen

Physical Security Channel
Analyse physischer Sicherheitsmaßnahmen:

• Zutrittskontrollen
• Überwachungssysteme
• physischer Zugriff auf Systeme

Wireless Security Channel
Bewertung drahtloser Kommunikation:

• WLAN-Sicherheit
• Bluetooth und andere Funktechnologien
• ungesicherte Funkverbindungen

Telecommunications Security Channel
Analyse klassischer Kommunikationssysteme:

• VoIP
• Telefonanlagen
• Netzwerkkommunikation

Data Networks Security Channel
Untersuchung klassischer IT-Infrastrukturen:

• Netzwerke
• Server
• Anwendungen

Diese kanalbasierte Struktur ermöglicht eine ganzheitliche Betrachtung von Sicherheit über verschiedene Angriffsvektoren hinweg.

Methodischer Ansatz

Die OSSTMM unterscheidet sich deutlich von anderen Standards durch ihren messbaren Ansatz. Zentrale Konzepte sind:

• Trust – Vertrauen in ein System
• Controls – implementierte Sicherheitsmaßnahmen
• Limitations – Einschränkungen eines Systems
• Interactions – mögliche Angriffsflächen

Ein zentrales Element ist die Berechnung des sogenannten RAV (Risk Assessment Value). Dieser Wert soll eine objektive Aussage über das Sicherheitsniveau eines Systems ermöglichen.

Der Leitfaden legt großen Wert auf:

• reproduzierbare Tests
• klare Trennung von Fakten und Interpretation
• vollständige Dokumentation

Bedeutung in der Praxis

Der OSSTMM nimmt in der Praxis eine besondere Rolle ein, da er im Vergleich zu anderen Standards einen deutlich stärker formalisierten und wissenschaftlich geprägten Ansatz verfolgt. Er wird vor allem dort eingesetzt, wo Sicherheitsbewertungen nachvollziehbar, reproduzierbar und möglichst objektiv erfolgen sollen. Insbesondere in regulierten oder hochkritischen Umgebungen kann dieser Ansatz einen Mehrwert bieten.

Durch die kanalbasierte Struktur eignet sich der OSSTMM zudem für umfassende Sicherheitsanalysen, die über klassische IT-Systeme hinausgehen. Organisationen können damit nicht nur technische Schwachstellen identifizieren, sondern auch organisatorische, physische und menschliche Faktoren systematisch berücksichtigen.

In der praktischen Anwendung zeigt sich jedoch, dass der OSSTMM selten in seiner vollständigen Form eingesetzt wird. Häufig dient er eher als theoretischer Rahmen oder als ergänzende Referenz, während operative Tests auf pragmatischere und stärker praxisorientierte Standards zurückgreifen.

Kritik und Einschränkungen

Trotz seines strukturierten Ansatzes weist der OSSTMM erhebliche Einschränkungen auf, insbesondere im praktischen Einsatz. Eine zentrale Kritik ist die starke theoretische und wissenschaftliche Ausrichtung des Standards. Der OSSTMM orientiert sich eher an einem akademischen Modell zur Beschreibung und Messung von Sicherheit als an einem praxisnahen Leitfaden für reale Penetrationstests.

Die Vielzahl an Konzepten, Definitionen und Metriken führt zu einer hohen Komplexität, die in der Praxis schwer handhabbar ist. Insbesondere die Berechnung und Interpretation von Kennzahlen wie dem RAV erfordert ein tiefes Verständnis des Modells, ohne dass daraus zwangsläufig ein unmittelbarer Mehrwert für reale Sicherheitsbewertungen entsteht.

Darüber hinaus ist die ganzheitliche Umsetzung des OSSTMM in realen Projekten äußerst unüblich. Der Anspruch, alle definierten Kanäle vollständig und methodisch sauber zu prüfen, ist in den meisten wirtschaftlichen Szenarien weder zeitlich noch finanziell realistisch. In der Praxis werden daher meist nur einzelne Aspekte übernommen, während der Standard in seiner Gesamtheit kaum Anwendung findet.

Ein weiterer kritischer Punkt ist der begrenzte Praxisbezug. Der OSSTMM liefert nur wenige konkrete, direkt umsetzbare Testanleitungen. Stattdessen liegt der Fokus auf Modellbildung, Klassifikation und Messmethodik. Für operative Tätigkeiten müssen Tester daher zusätzliche, praxisorientierte Leitfäden heranziehen.

Zusätzlich besteht die Gefahr, dass die starke Formalisierung und Quantifizierung eine Scheingenauigkeit erzeugt. Sicherheit ist in vielen Bereichen nicht vollständig messbar, insbesondere wenn menschliche Faktoren oder komplexe Geschäftslogiken betroffen sind. Die erzeugten Kennzahlen können daher eine Objektivität suggerieren, die in der Realität nur eingeschränkt gegeben ist.

Insgesamt eignet sich der OSSTMM daher eher als theoretisches Rahmenwerk und Referenzmodell, weniger jedoch als alleinige Grundlage für die praktische Durchführung von Sicherheitstests.