Ein Penetrationstest ist eine erlaubte Prüfung von Systemen auf Schwachstellen, mit festem Umfang und einem Bericht der Ergebnisse.
Die Eigentümerin stimmt vorher zu, welche Systeme berührt werden dürfen, wie weit eine prüfende Person gehen darf und wie die Ergebnisse geliefert und geschützt werden.
So funktioniert es
Prüfende versuchen, innerhalb dieses geschriebenen Umfangs eine echte Wirkung zu zeigen, dann hören sie auf und erklären die Funde, damit die Eigentümerin sie beheben kann.
Die Arbeit ist keine Erlaubnis, in Nachbarunternehmen zu wandern, Daten zu zerstören oder eine Lücke weiter auszunutzen, nachdem die Demonstration klar ist.
Ein guter Bericht nennt die Schwäche, den Beleg und die Reparaturpriorität, ohne den Auftrag in ein öffentliches Rezept zu verwandeln.
Weil die Tätigkeit unterwegs wie ein Angriff aussieht, gehören Notfallkontakte und ein Weg, den Test anzuhalten, in die Vereinbarung, bevor jemand beginnt.
Konkrete Beispiele
- Ein Händler erlaubt einen Test seines öffentlichen Shops und erhält einen Bericht, dass eine vergessene Verwaltungsseite ein Vorgabekennwort annimmt, das danach geändert wird.
- Der Test einer Bank wird an der Grenze des Kartennetzes gestoppt, weil der Umfang diesen Partner nie einschloss.
- Ein jährlicher Test findet denselben fehlenden Patch wie im Vorjahr, und der Bericht wird genutzt, um den Ausrollprozess zu reparieren und nicht nur den einen Server.
Schutzmaßnahmen
- Unterschreiben Sie Umfang, Zeitfenster und Notfallkontakte, bevor irgendeine Prüfung beginnt, und halten Sie dieses Papier während des Tests erreichbar.
- Untersagen Sie Zerstörung, Erpressung und Zugang jenseits der genannten Systeme und halten Sie die Arbeit an, wenn ein Fund schon bewiesen ist.
- Schützen Sie den Bericht als empfindlich, teilen Sie ihn mit den Personen, die die Punkte beheben können, und verfolgen Sie jeden Fund bis zu einer Änderung.
- Nutzen Sie die Ergebnisse, um Patchen, Zugang und Überwachung zu verbessern, und behandeln Sie einen stillen Test nicht als Beweis, dass nichts bleibt.