Penetration Testing Wie sicher ist Ihr Unternehmen wirklich? - ikt.saarland

Penetration Testing
    Wie sicher ist Ihr Unternehmen wirklich?

1

Backes SRT
                 Produkte
                 WhatsBox

                 -   Container, der Datenschutz konforme Nutzung
                     von WhatsApp ermöglicht

                 Security Dienstleistungen

                 Awards

                 Deutscher IT-Sicherheitspreis

                 CeBIT Innovation Award

2

Was sind Pentests?

3

Warum macht man sowas?
    •   Zur Erlangung von Zertifizierungen, bsp. ISO 27001.

    •   Bei Konzernen dürfen (externe) Lösung oft nur nach Pentests in den
        Produktivbetrieb.

    •   Rechtliche Absicherung durch externe Gutachter.

                           Pentests sind essentielle Bestandteile
                                 der Qualitätssicherung.

4

Strategischer Nutzen von Penetration Testing

                                          Compliance Vorteile durch die
                  Top                     Integration von Pentests in
                 Mgmt                     Prozesse (z.B. GDPR).

                    …                     Organisatorische Schwächen
                                          bzgl der Security Identifizieren.

              Entwickler                  Konkreter Handlungsplan
                                          zum Beheben von Security
                                          Problemen.
5

Welche Arten von Pentest gibt es?

    •   Information
    •   Agressivität
    •   Ziele
    •   Vorgehensweise
    •   Technische Zugang
    •   Ausgangspunkt

         „Schicken Sie mir mal ein
        Angebot für einen Pentest?“

6

Wie sieht das Ergebnis eines Pentest aus?

     Management Report
     Dokumentierte Vorgehensweise
     Dokumentation der Befunde
     Risikoeinschätzung
     Handlungsempfehlung vs.
      Handlungsoptionen
     Kostenschätzung

7

Nutzen

             Kosten/Zeit

8

Wie geht man beim Pentesten vor

    Erkundung                   Auswahl der            Erstinfektion          Stabilisierung
                                Werkzeuge                                     der Infektion

Informationssammlung             Werkzeuge           Bekomme Zugriffsrechte   Stabilisierung

• Was sind die Angriffsziele?    •   Metasploit      • Exploits               • Autostart
• Wie kommt man dran?            •   Webtools        • Fehlkonfiguration      • SSH Deamon
• Portscanner,…                  •   Browser         • …                      • …
                                 •   OpenVASS
9                                             Laterale Angriffe

Werkzeuge
     Ausgewählte Liste

10

Werkzeuge: NMAP
     •   Erkunden von Netzwerken

     •   Offene Ports
     •   Identifiziert Services

     •   Etliche Parameter zur
         Einstellung der Agressivität

     •   Dieser Teil wird oft von
         Firewalls behindert

11

Werkzeuge: Metasploit Pro / OpenVASS

     Konfigurierbar für regelmäßige Scans innerhalb des Unternehmens.
12

Werkzeuge: Browser als Werkzeug

     •   Qualität von SSL Zertifikaten
         https://www.ssllabs.com/

     •   Finden weitere Subdomains
         https://dnsdumpster.com/

     •   MX Einträge
         https://mxtoolbox.com/

     •   …

13

Werkzeuge: SQLMap

14

Werkzeuge: SQLMap

     •   Einfache Benutzerführung
     •   Kann aus der Fehlermeldung
         bereits die gesamte DB
         extrahieren

     Vorteil
     • Vollautomatisch
     • Generiert komplexe Queries
        und extrahiert Informationen
        aus der Ausführungszeit

15

OWASP Top 10
          1.    Injection
          2.    Broken Authentication
          3.    Sensitive Data Exposure
          4.    XML External Entities (XXE)
          5.    Broken Access Control
          6.    Security Misconfiguration
          7.    Cross-Site Scripting (XSS)
          8.    Insecure Deserialization
          9.    Using Components with Known Vulnerabilities
          10.   Insufficient Logging & Monitoring

16
     16

Fazit

      Pentests sind sehr vielseitig und Beratungsintensiv.
      Viele Stellschrauben erlauben starke Individualisierung.
         o   Die Dienstleistung ist nur schwer zu vergleichen.

      Günstige Pentests sind ein Indiz für hoher Grad an Automatisierung
         o   Leider ist die Forschung, KI, Software noch nicht soweit.

      Penetration Testing kann immer nur Risiken aufdecken,
       nicht beweisen, dass keine da sind.
      Man sollte regelmäßig den Anbieter wechseln.

17