Sämtliche Projekte starten mit einem Kick-Off-Meeting, um Ihre spezifischen Anforderungen zu verstehen, Testbedingungen zu definieren und offene Punkte zu klären.
Nach dem Kick-Off-Meeting werden beispielsweise die Penetration Tests gemäss den folgenden Projektphasen durchgeführt:
Es gibt keinen «typischen» Penetration Test. Deshalb bieten wir verschiedene Typen von Penetrationstests / Ethical Hacking (inkl. APT Tests) an, optimal ausgerichtet auf die spezifischen Anforderungen von Web Applikationen, Mobile Apps, SAP Lösungen, ICS (SCADA/DCS), IoT Devices, diverse Angriffsvektoren und Rahmenbedingungen oder Ihre individuellen Wünsche (z.B. hält Ihr SOC, Cloud oder Service Provider, was er verspricht?).
Unsere Penetration Tests helfen Ihnen dabei, Schwachstellen zu identifizieren, deren Risiken zu klassifizieren und passende Gegenmassnahmen zu planen und umzusetzen. Wir erstellen als Teil des verständlichen Schlussberichts detaillierte, priorisierte Massnahmenempfehlungen um Ihre IT Assets vor unerwünschten Aktivitäten zu schützen.
Der Penetration Test ist ein simulierter, realitätsnaher Hackerangriff. Während der zur Verfügung stehenden Testzeit wird systematisch nach allen Sicherheitslücken gesucht. Im Gegensatz zu voll-automatisierten Scans wird beim Penetration Test ein wesentlich grösserer Teil der anstehenden Arbeiten manuell erbracht und die Tester versetzen sich in die Rolle eines Hackers. Im Vergleich zum Application Security Audit werden beim Penetration Test primär unprivilegierte
Tests durchgeführt (d.h. ohne Kenntnisse von gültigen Zugangsinformationen wie User ID/Passwort etc.), aber privilegierte Tests können ausgeführt werden, falls während des Penetration Tests Zugangsinformationen erhältlich sind. Die Hauptunterschiede zwischen einem Penetration Test und dem Ethical Hacking liegen darin, dass beim Penetration Test in der zur Verfügung stehenden Zeit möglichst alle Sicherheitslücken aufgespürt werden und möglicherweise in das
Untersuchungsobjekt eingedrungen, es aber nicht dauerhaft modifiziert wird.
Der Application Penetration Test ist ein Security Test einer Applikation und ihrer zugehörigen Systeme im Front- und Backend. Dabei können sowohl Web-Applikationen, Mobile Apps, Appliances als auch klassische Client-/Server Applikationen als ausführbare Programme oder als Source Code untersucht werden. Während der zur Verfügung stehenden Testzeit wird systematisch nach allen Sicherheitslücken im Betriebssystem, den Basisdiensten und der darauf aufbauenden Applikation gesucht.
Bei diesem Typ Penetration Test werden privilegierte und unprivilegierte Tests durchgeführt – somit kombiniert ein Application Penetration Test Angriffe aus der Outsider (z.B. Hacker) und der Insider-Perspektive. Es ist der umfassendste Testtyp, welcher sich insbesondere für kritische Infrastrukturen wie beispielsweise ICS (SCADA Systeme / DCS), Internet Banking Portale, Online Shops, Mobile Apps oder interaktive Business Websites eignet.
Beim Application Penetration Test können folgende Methoden und Techniken zum Einsatz kommen:
In manchen Fällen soll eine Applikation oder ein System einer Sicherheitsüberprüfung unterzogen werden, aber der Kunde hat keinen Zugriff auf den Source Code respektive die Baupläne des Gerätes oder will diese nicht preisgeben. Beim Reverse Engineering werden das sicherheitsrelevante Verhalten und die Funktionalitäten eines Geräts oder einer lauffähigen Applikation basierend auf dem Blackbox-Ansatz analysiert.
Neben den üblichen Techniken kommen bei Reverse Engineering Projekten bei Bedarf auch folgende Testarten zum Einsatz:
Das „BlackBox“ testing Modell entspricht einem simulierten Angriff von außen. Es bestehen meist keinerlei vorab Informationen über die zu testendenden Ziele, der Penetrationstester geht daher vor wie ein Angreifer und beschafft sich diese Informationen selbst.
Beim „WhiteBox“ testing Modell wird mit vorab zur Verfügung gestellten Informationen gearbeitet. Diese können IP-Adressen, WLAN Passwörter, Informationen zu Backends bis hin zur Offenlegung von Source-Code sein (statischer Audit).
Kombiniert die Eigenschaften des „BlackBox“ und des „WhiteBox“ Modelles. GreyBox Tests bringen meist die besten Ergebnisse, allerdings gehen GreyBox-Tests auch oft mit höherem Aufwand einher, da die durchzuführenden Tests dadurch insgesamt skalieren.
