Schwachstellenanalyse
Aus der weitreichenden Vernetzung der IT-Infrastruktur im Unternehmen resultieren zahlreiche Risiken. Vor allem die im Internet exponierten IT-Systeme sind fortlaufend Angriffsversuchen ausgesetzt, welche größtenteils automatisiert und ungezielt erfolgen. Aber auch IT-Systeme im internen Netzwerk können Angriffsversuchen ausgesetzt sein, beispielsweise durch die eigenen Mitarbeiter oder durch Angreifer, die bereits durch einen vorgelagerten Angriff Zugriff auf das interne Netzwerk erlangt haben. Die Bedrohungen reichen hierbei vom Datendiebstahl durch Innentäter oder externe Eindringlinge bis hin zur Infizierung mit Schadprogrammen. Es ist daher von zentraler Bedeutung, potenzielle Schwachstellen in extern erreichbaren IT-Systemen aber auch in internen Systemen zu identifizieren, die Angreifern als Einstiegspunkt für weiterführende Angriffe dienen können.
Ziel
Breite Analyse von IT-Systemen mit möglichst hohem Abdeckungsgrad zur Identifikation von Schwachstellen, die als Einstiegspunkt für weiterführende Angriffe dienen können
Fragestellung
An welchen Stellen könnten Angreifer ansetzen und wie hoch ist das Risiko durch vorhandene Schwachstellen?
Scope
Alle IT-Systeme und Komponenten in definierten IP-Adressbereichen
Ablauf
Mit der Schwachstellenanalyse bieten wir Ihnen eine breite und umfassende Prüfung aller Ihrer, innerhalb eines definierten Bereichs, erreichbaren IT-Systeme bezüglich vorhandener Sicherheitsmängel. Der Schwerpunkt liegt dabei auf einem möglichst hohem Abdeckungsgrad zur Identifizierung initialer Angriffsvektoren und Schwachstellen auf Ihre IT-Systeme. Die Basis des Assessments bilden automatisierte Scans, deren Ergebnisse anschließend manuellen Risikoanalysen und -bewertungen unterzogen werden. Auch eine Verifikation kritischer Schwachstellen durch direkte Angriffsversuche ist möglich. Die Durchführung erfolgt bei komplexeren IT-Umgebungen grundsätzlich in Teams von zwei Personen.
Bestandteile
Die Schwachstellenanalyse umfasst üblicherweise folgende Punkte:
- Erfassung erreichbarer externer und/oder interner IT-Systeme und Dienste
- Automatisierter Schwachstellen-Scan mittels spezieller Software-Tools
- Manuelle Analyse und Bewertung der Ergebnisse zur Identifikation angreifbarer Schwachstellen und Sicherheitslücken
- Manuelle Verifikation identifizierter Sicherheitslücken mittels direkter Angriffe (soweit sinnvoll und nach Absprache)
- Weitere Aspekte können in das Assessment einbezogen werden, z.B. Abgrenzung des LANs gegenüber Fremdnetzen mit verschiedenen Vertrauensstellungen (WAN-Anbindung von Niederlassungen, WAN-Anbindung externer Partner etc.), Sicherheitsaspekte der internen Netzwerksegmentierung (VLAN etc.), Qualität der Systemadministration (Patchmanagement, Passwortmanagement etc.)
- Dokumentation inklusive Risikobewertung und Maßnahmenbeschreibung
Test- und Angriffsszenarien können innerhalb des Assessments gegenüber den Systemverantwortlichen erläutert und bei Bedarf angepasst werden.
Ergebnis
Als Ergebnis des Assessments erhalten Sie einen ausführlichen Abschlussbericht mit folgenden Bestandteilen:
- Beschreibung Projektablauf, Zielsetzung, Umfang und Methodik
- Management Summary mit Zusammenfassung der Ergebnisse und des Sicherheitsniveaus
- Detaillierte Beschreibung der identifizierten Schwachstellen, um diese nachvollziehen zu können
- Risikobewertung der identifizierten Schwachstellen unter Berücksichtigung des IT-Umfelds bzw. des Anwendungskontextes (Risikoeinstufung: niedrig, mittel, hoch, kritisch)
- Beschreibung von Maßnahmen zur Behebung der Schwachstellen
- Falls erforderlich auch eine Beschreibung von übergeordneten strategie-, konzept- und prozessbezogenen Maßnahmen oder Optimierungsvorschlägen.
Abgrenzung zum Penetrationstest
Im Gegensatz zur zielgerichteten Vorgehensweise eines Penetrationstests , liegt der Schwerpunkt der Schwachstellenanalyse auf einer möglichst breiten und umfassenden Prüfung. Die Basis des Assessments bilden automatisierte Scans, deren Ergebnisse anschließend manuellen Risikoanalysen und -bewertungen unterzogen werden.
Die Ausnutzung nachgelagerter Schwachstellen (Post Exploitation) wie sie bei einem Penetrationstest angewendet wird, um möglichst weit in eine Infrastruktur oder ein IT-System vorzudringen, ist hingegen nicht Bestandteil der Schwachstellenanalyse.