Penetrationstest

Das Risiko ist nie null, und etwas anderes zu behaupten wäre unredlich. Es lässt sich eingrenzen: Die Rules of Engagement legen Umfang, Zeitfenster und ausgeschlossene Handlungen fest — Denial of Service, Veränderung von Daten — sowie eine erreichbare Ansprechperson auf beiden Seiten für die Dauer des Tests. In besonders heiklen Umgebungen, industriell oder embedded, arbeiten wir bevorzugt auf einem Testaufbau oder in einem Wartungsfenster. In der Praxis besteht der grösste Teil der Arbeit aus Beobachtung und kontrollierter Ausnutzung.

Zwei Lesarten derselben Arbeit. Eine Präsentation für die Geschäftsleitung: was ein Angreifer erreichen konnte, welches Geschäftsrisiko daran hängt und welche Entscheide anstehen. Ein technischer Teil: jede Schwachstelle mit reproduzierbarem Exploit-Nachweis, Kontext und Behebung. Die Feststellungen sind nach dem tatsächlichen Risiko in Ihrer Umgebung priorisiert, nicht nach einem rohen Punktwert. Ein Nachtest bestätigt anschliessend, dass die Korrekturen halten.

Ein Penetrationstest sucht Abdeckung: in einem festgelegten Umfang möglichst viele ausnutzbare Schwachstellen finden. Ein Red Team verfolgt ein Ziel — diese Daten, dieses System erreichen — auf dem unauffälligsten Weg, ohne dass die Verteidigung vorgewarnt ist. Das eine misst Ihre Exposition, das andere Ihre Fähigkeit zu erkennen und zu reagieren. Ein Red Team lohnt sich erst, wenn diese Fähigkeit besteht: davor teuer zu erfahren, dass sie fehlt, bringt wenig.