Network Penetration Test (NPT)

Beschreibung

Heutzutage, da E-Commerce, Online-Transaktionen B2B (Business-to-Business) und weltweite Vernetzung wesentliche Bestandteile einer erfolgreichen Unternehmensstrategie geworden sind, haben die Unternehmen Sicherheitsverfahren und -praktiken eingeführt.

Ein Großteil der Unternehmen arbeitet mit Sorgfalt um eine effiziente und effektive Sicherheitspolitik aufrechtzuhalten, welche die neusten Produkte und Dienstleistungen umsetzt, um Betrug, Vandalismus, Sabotage und DoS (Denial of Service) -Angriffe zu verhindern.

Trotz alledem messen viele Unternehmen einem Schlüsselfaktor für eine erfolgreiche Sicherheitspolitik keine angemessene Bedeutung bei: Der Überprüfung, ob das Netzwerk und die Sicherheitssysteme wie vorgesehen funktionieren.

Die Anwendung des Network Penetration Test, welcher mithilfe von Tools und Prozessen die Netzwerk-Infrastruktur auf Schwachstellen scannt, hilft die Sicherheitsrichtlinien eines Betriebs zu verfeinern, indem er die Sicheheitslücken identifiziert und garantiert, dass die Implementierung der Sicherheit tatsächlich den Schutz bietet, den das Unternehmen anfordert und benötigt.

Regelmäßiges Ausführen von Penetration Tests hilft den Unternehmen die Schwachstellen der Netzwerksicherheit zu entdecken, welche zu Gefährdung oder Zerstörung von Daten oder Geräten durch Exploits, Viren, Trojaner, DoS-Angriffe und andere Intrusionen führen können.

Network Penetration Test kurz gefasst:

• Sucht von außerhalb oder innerhalb nach Schwachstellen in den am stärksten gefährdeten Systemen
• Die identifizierten Schwachstellen werden ausgenutzt um den Netzwerkbereich zu verletzen.
• Die internen Systeme werden auf der Suche nach anderen Sicherheitslücken inspiziert, welche es erlauben anderweitig Zugang zu den Daten und Infrastrukturen zu erlangen.
• Der Prozess wird solange wie möglich wiederholt.

Service-spezifische Network Penetration Test

Der Network Penetration Testing Service wird von qualifizierten Fachkräften nach international anerkannten Methodologien vorgenommen (gemäß OSSTMM (Open Source Security Testing Methodology Manual), einem Open Source Leitfaden zur Durchführung von Sicherheitstests bei IT-Infrastrukturen und IT-Assets), welche auf die spezifischen Ansprüche des Klienten und das Angriffsszenario zugeschnitten sind.

Alle unsere Dienstleistungen sind je nach Bedürfnis der Kunden individuell anpassbar und ergänzbar durch andere angebotene Services und Produkte. Ein NPT kann den rein informatischen Aspekt oder auch Personen und Prozesse (Social Engineering) und physische Sicherheit berücksichtigen. Es liegt am Kunden zu entscheiden, welches die wichtigsten Aspekte des Einsatzes sind und worauf sich die Kräfte des Angriffsteams konzentrieren sollten.

Alle heikleren Teilbereiche und Techniken werden von erfahrenen Forschern durchgeführt, um maximale Professionalität zu gewährleisten und sicherzustellen, dass es weder zur Beschädigung von Infrastrukturen noch von Daten kommt.

Die Ergebnisse dieser Tests werden zusammengefasst und in einem Bericht dargelegt: Ein einfaches, detailliertes Dokument bestehend aus drei Hauptteilen.

Von außen (External PT) oder von innen (Internal PT) und mit dem vom Kunden gewählten Informationsniveau (Black Box, Grey Box e White Box) um verschiedene Angriffsszenarien zu simulieren.

Network Penetration Test Szenarien

ISGroup führt die eigenen Tests auf verschiedene Betriebsarten durch:

Internal PT
Die Tests werden von einer Positionierung innerhalb des Unternehmensnetzwerks aus durchgeführt.

External PT
Die Tests werden von einer Positionierung außerhalb des Unternehmensnetzwerks durchgeführt.

Außerdem ist es möglich zwischen Black Box-, Grey Box- und White Box-Testungen zu unterscheiden, je nach dem Informationsgehalt welcher über die anzugreifenden Systeme geliefert wurde. Hier einige Beispiele und Szenarien:

External PT Black Box
Simuliert einen zufälligen oder externen Angreifer (z. B. einen Konkurrenten) ohne Zugang zu Informationen und Referenzen des Unternehmens.

Internal PT Black Box
Simuliert einen Angreifer mit physischem Zugriff (z .B. einen externen Berater oder Besucher in einem Konferenzraum) oder Fernzugriff (z. B. vom Computer einer kompromittierten Sekretärin) auf das Firmennetz.

External PT White Box
Simuliert die Beschädigung einer nach außen hin exponierten Komponente um zu verstehen, welches Zugriffsniveau ein Angreifer zu anderen Bereichen der firmeneigenen Infrastruktur erhalten kann.

Internal PT Black Box
Simuliert einen Angreifer innerhalb der Organisation, mit Informationen und Zugang zu einigen Bereichen der Infrastruktur, um zu verstehen, welches Zugriffssniveau zu den kritischen Komponenten möglicherweise erreicht werden kann.

Wireless Penetration Test
Versuch einer Beschädingung der drahtlosen Infrastruktur. Simuliert einen Angreifer, der sich in physischer Nähe eines der Gebäude des Unternehmens befindet in welchem ein drahtloses Netzwerk installiert ist.

Social Engineering
Anstatt der IT-Komponente wird hier die "menschliche" Komponente angegriffen. Mit Manipulationstechniken wird versucht, Personen zu bestimmten Handlungen zu verleiten, oder sie dazu zu bewegen Informationen preiszugeben.

Output

Der Bericht ist ein einfaches und detailliertes Dokument, welches die Ergebnisse der Tätigkeit zusammenfasst. Er ist in drei verschiedene Teilbereiche unterteilt, wie bereits beschrieben:

Executive Summary
Zu Beginn des Berichts, und in der Länge nicht über eine Seite hinausgehend, befindet sich die die Zusammenfassung auf hohem Niveau, welche für das Management bestimmt ist.

Vulnerability Details
Der technische Teil, welcher im Detail die festgestellten Schwachstellen und ihre Auswirkungen beschreibt, richtet sich an den Security Manager.

Remediation Plan
Die technische Sektion mit präzisen Instruktionen zur Lösung der festgestellten Probleme richtet sich an den System Administrator.