Penetration Testing - Die Sicht eines Angreifers
Bei einem Penetration Test wird ein realistischer Angriff eines Hackers simuliert. Während der Durchführung werden Schwachstellen in Netz, Systemen und Applikationen gesucht und wenn möglich ausgenutzt.
Protect7 unterscheidet folgende Arten eines Penetration Test:
- Manuelles Application Penetration Testing
- Teilautomatisiertes Application Penetration Testing
- Network Penetration Testing
Neben den verschiedenen Arten, wird auch unterschieden, welcher Informationsgehalt einem Penetration Tester zur verfügung steht. Daraus ergeben sich folgende Verfahrensweisen:
Black Box:
Der Tester erhält vorweg keine Informationen über Netzwerke, Systeme und Applikationen. Er versucht, wie ein aussentehender Angreifer sich die Informationen zu beschaffen und mögliche Ziele für einen Angriff zu identifizieren und die Angriffe auszuführen. Ziel ist es, mögliche Sicherheitslücken aufzuspüren und auszunutzen.
Grey Box:
Im Gegensatz zum Black Box ansatz werden hier dem Tester einige relevante Informationen gegeben, damit er schneller die relevanten Systeme und Applikationen untersuchen kann und keine Zeit für ein Information Gathering verliert.
White Box:
Bei diesem Ansatz werden dem Tester alle relevanten Informationen über die zu prüfenden Systeme mitgeteilt. So ist es möglich einen Angriff zu simulieren, der eine längerer Zeit in anspruchnehmen würde oder einen Insiderangriff simuliert.