Penetrationstests
Wir testen Anwendungen und Infrastruktur des Unternehmens so, wie es ein Angreifer versuchen würde, im Rahmen einer schriftlichen Vereinbarung. Sie erhalten die gefundenen Schwachstellen, ihre Auswirkungen und Empfehlungen zur Behebung.
Was Sie erhalten
- Schriftliche Vereinbarung: Systeme, Zeitraum, zulässige Techniken, Kontakte
- Authentifizierung, Autorisierung, Injection-Schwachstellen, Konfiguration, Anwendungslogik
- Aus dem Internet erreichbare Dienste, Konfigurationen, verwundbare Versionen
- Identitäten, Zugriffe, Freigaben und Sicherheitseinstellungen
Wann sinnvoll
- Eine neue Anwendung geht bald live oder wurde wesentlich verändert.
- Ein Kunde oder eine Compliance-Anforderung verlangt einen Penetrationstest.
- Das Unternehmen möchte wissen, was aus dem Internet erreichbar und wie angreifbar es ist.
- Nach einem Vorfall oder Verdacht auf Kompromittierung, als Teil der Bewertung.
Leistungen und Ergebnisse
Umfang und Testregeln
Schriftliche Vereinbarung: Systeme, Zeitraum, zulässige Techniken, Kontakte
Test von Webanwendungen
Authentifizierung, Autorisierung, Injection-Schwachstellen, Konfiguration, Anwendungslogik
Test der erreichbaren Infrastruktur
Aus dem Internet erreichbare Dienste, Konfigurationen, verwundbare Versionen
Prüfung von Cloud und Microsoft 365
Identitäten, Zugriffe, Freigaben und Sicherheitseinstellungen
Bericht
Zusammenfassung für die Geschäftsleitung und technische Details mit Nachweisen und Behebung
Nachtest
Prüfung der Korrekturen, sofern im Umfang enthalten
Was wir anstreben
Ziele der Zusammenarbeit, keine Ergebnisgarantien.
- Wichtige Schwachstellen erkannt, bevor sie ausgenutzt werden.
- Korrekturen nach Schweregrad und Auswirkung priorisiert.
- Bestätigung der Korrekturen durch einen Nachtest, falls vereinbart.
- Ein Bericht, den Sie Kunden oder Auditoren vorlegen können.
Wovon das Ergebnis abhängt
Die Abdeckung des Tests hängt vom vereinbarten Umfang, von bereitgestellten Zugängen und Testkonten, vom Testzeitraum und von der Stabilität der getesteten Umgebung ab. Ein Test zeigt Schwachstellen zu einem bestimmten Zeitpunkt; er garantiert nicht, dass keine weiteren bestehen.
Zuständigkeiten und Grenzen
Was UDG Group übernimmt
- Wir legen Umfang und Testregeln fest.
- Wir führen die Tests im vereinbarten Zeitraum durch.
- Wir dokumentieren Schwachstellen mit Nachweisen und Schweregrad.
- Wir stellen Ergebnisse und Empfehlungen vor.
Was beim Unternehmen bleibt
- Autorisiert den Test schriftlich und bestätigt, dass es über die getesteten Systeme verfügen und den Test beauftragen darf.
- Stellt Testkonten und einen technischen Ansprechpartner bereit.
- Setzt die Korrekturen um.
Nicht enthalten
- Systeme, für die das Unternehmen keinen Test beauftragen darf; Cloud-Dienste werden nur im Rahmen der Testrichtlinie des Anbieters geprüft.
- Tests, die die Verfügbarkeit beeinträchtigen können, sofern nicht ausdrücklich vereinbart.
- Eine Garantie, dass das System keine weiteren Schwachstellen hat.
Ablauf
Umfang und Autorisierung
Systeme, Zeitraum, Techniken und Kontakte, schriftlich festgelegt.
Aufklärung
Ermittlung der Angriffsfläche.
Test
Kontrollierte Versuche, Schwachstellen auszunutzen.
Bericht
Ergebnisse, Schweregrad, Nachweise und Empfehlungen.
Nachtest
Prüfung der Korrekturen, falls vereinbart.
Was Dauer und Kosten bestimmt
Umfang, Dauer und Kosten werden vor Beginn der Arbeit schriftlich festgelegt.
- Anzahl und Komplexität der Anwendungen und Systeme.
- Art des Tests: extern, authentifiziert oder mit Einsicht in den Code.
- Dauer des Testzeitraums.
- Ob ein Nachtest enthalten ist.
Häufige Fragen
Was unterscheidet einen Penetrationstest von einem Schwachstellenscan?
Ein automatischer Scan findet bekannte Probleme an der Oberfläche. Ein Penetrationstest verbindet Werkzeuge mit manueller Analyse und prüft, ob Schwachstellen tatsächlich ausnutzbar sind und welche Auswirkungen sie haben.
Kann der Test den Betrieb der Systeme beeinträchtigen?
Tests werden so geplant, dass das Risiko gering bleibt: mit Testzeiträumen, zulässigen Techniken und Notfallkontakten. Tests, die die Verfügbarkeit beeinträchtigen können, erfolgen nur mit ausdrücklicher Zustimmung.
Kann ich den Bericht Kunden oder Auditoren vorlegen?
Ja. Der Bericht enthält eine Zusammenfassung für die Geschäftsleitung, die sich für Kunden und Auditoren eignet, und einen technischen Teil für das Team, das die Korrekturen umsetzt.
Verwandte Leistungen
Diese Leistung besprechen
Beschreiben Sie kurz den Kontext: Termin, bereits vorhandene Unterlagen und das angestrebte Ergebnis.
Wir behandeln jede Anfrage diskret. Bevor wir sensible Informationen besprechen, können wir eine gegenseitige Vertraulichkeitsvereinbarung unterzeichnen.
Wenn Sie kein E-Mail-Programm nutzen, kopieren Sie die Adresse und schreiben Sie uns aus Ihrem eigenen Konto.
Die Angaben in Ihrer Nachricht nutzen wir, um Ihnen zu antworten. Mehr dazu in der Datenschutzerklärung.