Pentesting ist die Kurzform für einen genehmigten Test, dessen Umfang, Zeiten und Regeln vor Beginn schriftlich festliegen.
Die Umfangsfestlegung benennt Systeme, Zeitfenster, sichtbare Daten und die Person, die den Test stoppen darf.
So funktioniert es
In Verträgen steht oft die Kurzform, gemeint ist dennoch ein erlaubter Test nur der aufgeführten Systeme.
Der schriftliche Umfang hält die Arbeit innerhalb der Genehmigung und fern von allen anderen Zielen.
Ein brauchbarer Umfang nennt eingeschlossene Rechner, ausgeschlossene Rechner, erlaubte Stunden und den Umgang mit echten Daten.
Das Ergebnis ist ein Bericht über Schwächen zur Behebung, nicht eine Anleitung zum Einbruch.
Konkrete Beispiele
- Ein Händler erlaubt einen Nachttest der Bestellseite und lässt den Kartendienstleister außerhalb des Umfangs.
- Eine Klinik erlaubt den Test nur auf einer Kopie, damit Versorgungssysteme nicht zum Auftrag gehören.
- Ein Vertrag nennt eine Bereitschaft, die den Test abbricht, wenn ein wichtiger Dienst auszufallen droht.
Schutzmaßnahmen
- Legen Sie Umfang, Termine und Abbruchregeln fest, bevor Sie Prüfern ein Konto oder einen Netzweg geben.
- Lassen Sie Produktivdaten und fremde Systeme außen vor, bis jeder Betreiber extra schriftlich zustimmt.
- Verlangen Sie einen Befundbericht und bestehen Sie darauf, dass vergebene Zugänge am Ende entfernt werden.
- Heben Sie die Genehmigung bei den Änderungsunterlagen auf, damit später erkennbar ist, dass der Test erlaubt war.