Strategien zur Risikobehandlung
Es wäre ein Irrglaube als Pentester anzunehmen, dass aufseiten des Auftraggebers alle Schwachstellen behoben werden. Rein wirtschaftlich gesehen, lohnt sich beispielsweise ein Fix nicht, wenn dieser höhere Kosten verursacht als eine kriminelle Ausnutzung. Ebenfalls könnte unser Finding eine Geschäftsanforderung an das Zielsystem bzw. -anwendung darstellen, wofür sich die Geschäftsführung explizit entschieden hat. Betreiber von sozialen Netzwerken entscheiden sich beispielsweise häufig dafür, eine Benutzersitzung nach längerer Inaktivität des Anwenders nicht automatisch zu terminieren, obwohl dieser Sachverhalt als Schwachstelle in Penetration-Testing-Standards wie dem OWASP Testing Guide gelistet ist. In Hinsicht auf die Bedienbarkeit von sozialen Netzwerken ist solch eine Entscheidung auch nachvollziehbar, da sich vermutlich die durchschnittliche Nutzungsdauer reduzieren würde, wenn man sich jedes Mal erneut authentifizieren müsste. Aus Sicht der IT-Sicherheit ist ein fehlendes Session-Timeout aber mit Risiken verbunden. Ein Bedrohungsszenario wäre unter anderem, dass Dritte im Namen eines abwesenden Anwendungsbenutzers und einem nicht gesperrten Endgerät Aktionen ausführen könnten. Grundsätzlich stehen unserem Auftraggeber die folgenden Strategien für eine Risikobehandlung zur Verfügung:
- Risikominderung: Es werden Gegenmaßnahmen für das Risiko ergriffen.
- Risikotransfer: Das Risiko wird verlagert durch bspw. Software-Outsourcing oder Abschluss einer Versicherung.
- Risikoakzeptanz: Das Risiko wird von der Geschäftsführung bewusst akzeptiert.
- Riskovermeidung: Es werden Funktionen unterlassen, welche sich negativ auf den Betrieb eines Unternehmens auswirken könnten.
Nachdem wir nicht sicher sein können, dass alle Schwachstellen aufseiten des Auftraggebers behoben werden, ist es umso wichtiger, dass wir das Schadenspotenzial klar kommunizieren. Unabhängig von unserer Sichtweise sollte der Auftraggeber aber eine eigene Risikobewertung vornehmen, da wir nicht alle Hintergründe vom Betrieb kennen.
Pentest Training
Werfen Sie einen Blick auf die Kapitel vom Pentest Training und lernen Sie Pentesting:
- Vorwort
- Einführung
- Rechtliche Rahmenbedingungen
- Hacking vs. Penetration-Testing
- Klassifizierung
- Aussagekraft von Penetrationstest
- Penetration-Testing-Standards
- Der Hacking-Leitfaden
- Hacking I: Scannen von Netzwerken
- Hacking II: Passwortangriffe
- Hacking III: Webanwendungsangriffe
- Hacking IV: Privilegienausweitung
- Hacking V: Tunnel-Techniken
- Hacking VI: Vulnerability-Scanner und Penetration-Testing-Frameworks
- Vorführung eines Pentests
- Risikobewertung von identifizierten Schwachstellen
- Aufbau Dokumentation und Berichterstellung
- Plauderei aus dem Nähkästchen: Insights von Dubius Payment Ltd.
binsec academy GmbH - Online IT Security Training with Practical Focus
Die binsec academy GmbH ist ein Anbieter von praxisorientierten Online-Trainings im Bereich IT-Sicherheit. Das Schulungsangebot umfasst unter anderem Penetration Testing und sichere Softwareentwicklung. Die Teilnehmer lernen in realitätsnahen Laborumgebungen, die typische IT-Infrastrukturen und Anwendungen simulieren. Die Kurse beinhalten anerkannte Standards wie den OWASP Top 10 und PCI DSS und sind in mehreren Programmiersprachen verfügbar. Nach erfolgreichem Abschluss erhalten die Teilnehmenden Zertifikate wie den Binsec Academy Certified Pentest Professional (BACPP) oder den Binsec Academy Certified Secure Coding Professional (BACSCP), die ihre praktischen Fähigkeiten zur Erkennung und Behebung von Sicherheitslücken belegen.
Gehe zu binsec acadmy GmbH
binsec GmbH – Experten für Penetrationstests
Die binsec GmbH ist ein deutsches IT-Sicherheitsunternehmen mit Schwerpunkt auf professionellen Penetrationstests. Mit über 10 Jahren Erfahrung führt das Team tiefgehende Sicherheitsprüfungen von Netzwerken, Webanwendungen, APIs und mobilen Apps durch. Zertifizierte Experten identifizieren und dokumentieren systematisch Sicherheitslücken, um Unternehmen dabei zu unterstützen, ihre IT-Sicherheit zu verbessern und Compliance-Anforderungen zu erfüllen.
Gehe zu binsec GmbH