Penetration Test Zielsetzung & Methodik

Transkript

1 Zielsetzung & Methodik

2 : Ausgangslage Hacker und Cracker haben vielfältige Möglichkeiten, über öffentliche Netze unbefugt auf die IT-Systeme eines Unternehmens zuzugreifen Sie können vertrauliche Informationen ausspionieren Daten verfälschen oder vernichten ganze Netzwerke außer Betrieb setzen Zur Absicherung des Netzes werden heute Firewalls und Intrusion Detection-Systeme eingesetzt Aufgrund der wachsenden Komplexität der Netze können dennoch Schwachstellen und Angriffspunkte verbleiben Folie 2

3 : Ziele und Nutzen für den Kunden Exakte Einschätzung der Gefährdungen durch externe Angriffe Bewertung der Schwachstellen hinsichtlich der von ihnen ausgehenden Gefährdung für das Unternehmen Empfehlungen für effektive Schutzmaßnahmen gegen externe Angriffe Folie 3

4 Umsetzung: 1. Ablauf A) Gewinnung allgemeiner, öffentlich zugänglicher Informationen Angaben zur Firmenstruktur Personenangaben, z.b. zu Administratoren Firmeninterne IT-Festlegungen, z.b. zur Struktur von Usernamen oder Mailadressen Von außen erreichbare IT-Komponenten Von außen erkennbare Topologie des internen Netzes Anbindungen des internen an externe Netze Funktion von Netzkomponenten Folie 4

5 Umsetzung: 1. Ablauf B) Konfigurations-Analyse Hardware-Eigenschaften Software-Profile Erreichbare Dienste Offene Ports Folie 5

6 Umsetzung: 1. Ablauf C) Suche nach verbreiteten Angriffszielen, (zur Zeit ca 2.480, Liste wird ständig erweitert) Hardwarebedingte Systemschwachstellen Softwarebedingte Systemschwachstellen Von außen zugängliche Verzeichnisse Bereits installierte Trojaner CGI-Scripts Ausführbare CGI-Syntax RPCs Gängige Exploits Folie 6

7 Umsetzung: 1. Ablauf D) Zwischenauswertung Übergabe der bisherigen Ergebnisse in schriftlicher Form Erläuterung und Bewertung der Ergebnisse in einem Auswertungsgespräch Empfehlungen für Sofortmaßnahmen Absprache des weiteren Vorgehens Angriffsziele Schwerpunkte der Angriffssimulation Zeitliche / organisatorische Rahmenbedingungen Abbruchbedingungen Art und Zeitpunkt der Auswertung Folie 7

8 Umsetzung: 1. Ablauf E) Angriffssimulation Spezifisch nach Erfordernissen des Kunden An den gängigsten praktischen Hacker- und Cracker- Methoden orientiert Beispiele für mögliche Angriffe Außer-Betrieb-Setzen von Netzkomponenten Behinderung des reibungslosen Netzverkehrs Mißbrauch von Mailservern Gewinnung vertraulicher Daten Verfälschung von Daten Löschung von Daten Veränderung von Systemeinstellungen Folie 8

9 Umsetzung: 1. Ablauf F) Auswertung / Dokumentation Schriftliche Dokumentation aller Aktivitäten und ihrer Ergebnisse Schriftliche Bewertung des Gefährdungspotentials der Schwachstellen für das konkrete Unternehmen Schriftliche Empfehlungen für eine effektive Beseitigung der Schwachstellen Auf Wunsch Abschlussgespräch Folie 9

10 Umsetzung: 2. Bemerkungen zur Methode Nur Tests für die Komponenten, die dem Kunden gehören für die eine schriftliche Einwilligung des Eigentümers vorliegt Terminabsprachen für die Tests nur, wenn zwingend erforderlich Aktives Eindringen erst nach der Zwischenauswertung nur in dem abgestimmten Rahmen Mehrfache Durchführung mit verschiedenen Tools Sowohl automatisierte als auch manuelle Test- und Angriffsverfahren Folie 10

11 Umsetzung: 3. Besonderheiten Leistungsumfang Extrem skalierbar: Umfang des Tests Tiefe des Tests Dauer des Tests NICHT sinnvoll: Festlegung von Zielkomponenten und Testmethoden bereits bei der Auftragserteilung Test auf spezielle, vom Kunden ausgewählte Angriffsarten Verzicht auf Informationen durch Kunden (IP-Bereiche, ) Weitere Tests wie z.b. auf Methoden des Social Hacking möglich, aber nur in Ausnahmefällen sinnvoll Folie 11

12 Gerne beantworten wir weitere Fragen... TeleConsult Ulm GmbH Im Lehrer Feld Ulm Tel: Fax: info@tel-con.de Web: Folie 12