Ein Schwachstellenscanner liefert eine Liste mit Befunden. Ein Penetrationstest zeigt, wie ein Angreifer von einem exponierten Endpunkt bis zum Domänencontroller vordringt. Red Teaming geht einen Schritt weiter und prüft, ob die Erkennungs- und Reaktionsfähigkeiten einem anhaltenden Angriff standhalten.

Wir grenzen uns von reinen Pro-forma-Prüfungen ab. Mit jedem Auftrag beantworten wir eine konkrete geschäftliche Frage. Es ging bei einem weltweit tätigen Frachtträger zum Beispiel um akute Bedrohungen: gefälschte Versandaufträge, als bezahlt markierte, tatsächlich unbezahlte Sendungen, umgeleitete Fracht und eine aktive Angriffsfläche für Ransomware. Im vollen Penetrationstest über Auftragsverwaltung und Zahlungsabwicklung sowie die Sendungsverfolgung deckten wir die Schwachstellen auf und schlossen sie direkt, sodass sich weder Aufträge fälschen noch der Zahlungsstatus manipulieren oder Sendungen umleiten ließen – und auch die Ransomware-Angriffsvektoren waren damit beseitigt.

Webanwendungen

Für Webanwendungen gibt es zwei Teststufen. Standard beziehungsweise Lean dauert eine Woche und deckt die OWASP Top 10 sowie Authentifizierung und Sitzungsverwaltung ab. Deep Dive dauert zwei bis vier Wochen und umfasst vollständige manuelle Tests. Automatisierte Scanner decken die Angriffsfläche auf, ausnutzbare Schwachstellen findet die manuelle Prüfung eines Menschen. Am Ende stehen ein Bericht für die Geschäftsführung, eine technische Detailanalyse mit Proof-of-Concept-Exploits und ein Fahrplan zur Behebung der gefundenen Schwachstellen. Innerhalb von sieben Tagen ist eine gefundene Schwachstelle behoben, denn die Korrekturen setzen wir im Anschluss selbst um.

Netzwerke

Beim Penetrationstest von Netzwerken unterscheiden wir zwischen externen und internen Tests: Externe Tests bewerten aus der Perspektive eines Angreifers von außen die aus dem Internet erreichbare Infrastruktur, interne Tests gehen davon aus, dass sich ein Angreifer bereits innerhalb des Netzwerkperimeters befindet. Der Grund dafür: Perimeterschutz allein reicht nicht mehr, sobald diese erste Hürde überwunden ist.

Betriebstechnik und industrielle Steuerungssysteme

Für Betriebstechnik und industrielle Steuerungssysteme setzen wir auf passive Aufklärung, Protokollanalyse und bei Bedarf gezielte aktive Tests – ein spezialisierter Testansatz, der Produktionslinien nicht stört und laufende Anlagen schont. Diesen Service bieten im deutschsprachigen Raum nur wenige Anbieter an.

Red Teaming

Bei Red-Team-Übungen setzen wir über einen Zeitraum von zwei bis vier Wochen auf Phishing, physische Einbruchsversuche und Social Engineering, mit MITRE ATT&CK als Rahmenwerk – eine möglichst umfassende Simulation eines echten Angreifers. Viele investierte Erkennungsmechanismen wirken in der Praxis nämlich nur auf dem Papier zuverlässig; die Übung zeigt, ob die eigenen Erkennungs- und Reaktionsfähigkeiten einem echten, anhaltenden Angriff tatsächlich standhalten.

Mobile Anwendungen

Für iOS- und Android-Apps kombinieren wir statische Analyse mit dynamischen Tests und werten zusätzlich den Datenverkehr aus, denn der zählt neben dem Code ebenfalls zur Angriffsfläche.

IT und Betriebstechnik im Gesamtüberblick

IT und Betriebstechnik prüfen wir zusammen statt getrennt, in etwa drei Wochen mit rund sieben Beratungstagen. Du bekommst dadurch einen Gesamtüberblick, der einzelne Teilprüfungen zusammenführt und die sonst oft fragmentierte Sicherheitslage über beide Bereiche hinweg sichtbar macht.

Ablauf

Jeder Auftrag beginnt mit einem Scoping-Gespräch innerhalb von 48 Stunden. Die Tests koordinieren wir so, dass Produktionsausfälle vermieden werden: Die Fertigung lief bei einem britischen Hersteller von Gartenmöbeln und Werkbänken aus Holz während des gesamten Penetrationstests und der Vorfallanalyse durchgehend weiter. Ein technischer Bericht für Ingenieure und eine Zusammenfassung für die Geschäftsführung steht immer am Ende, denn Ingenieure und Geschäftsführung entscheiden häufig gemeinsam über die Beauftragung. Die Validierung der Behebung kommt bei Standard-Aufträgen dazu: die erneute Prüfung bereits behobener Schwachstellen.

Methodik

Die Anwendungstests folgen PTES und OWASP. Die Tests der Betriebstechnik folgen der Norm IEC 62443. Die Red-Team-Übungen folgen dem Rahmenwerk MITRE ATT&CK.