Pe­ne­tra­ti­on Testing: Was ist ein Pentest?

Mit Pe­ne­tra­ti­ons­tests, kurz Pentests, lässt sich z. B. das An­griffs­po­ten­zi­al des Netzwerks, einzelner teil­neh­men­der Systeme oder gar einer einzelnen Anwendung fest­stel­len. Wie wird ein solcher Test genau durch­ge­führt und was bedeutet er für das be­stehen­de Netzwerk?

Was ist Pen Testing?

In der In­for­ma­ti­ons­tech­nik be­zeich­net ein Pe­ne­tra­ti­ons­test den geplanten Angriff auf ein Netzwerk be­lie­bi­ger Größe oder einzelne Rechner mit dem Ziel, die Schwach­stel­len des je­wei­li­gen Test­ob­jekts of­fen­zu­le­gen. Zu diesem Zweck werden mithilfe diverser Tools ver­schie­de­ne An­griffs­mus­ter nach­ge­stellt, die bekannten An­griffs­me­tho­den nach­emp­fun­den sind. Die typischen Kom­po­nen­ten, die einem Pentest un­ter­zo­gen werden, sind:

• Netzwerk-Kopp­lungs­ele­men­te wie Router, Switches oder Gateways
• Si­cher­heits-Gateways wie Software- und Hardware-Firewalls, Pa­ket­fil­ter, Vi­ren­scan­ner, Load Balancer, IDS und IPS etc.
• Server wie Webserver, Da­ten­bank­ser­ver, File­ser­ver etc.
• Te­le­kom­mu­ni­ka­ti­ons­an­la­gen
• Jegliche Art von Web­an­wen­dun­gen
• In­fra­struk­tur­ein­rich­tun­genwie z. B. Zu­tritts­kon­troll­me­cha­nis­men
• In­vol­vier­te drahtlose Netzwerkewie WLANs oder Bluetooth

Generell un­ter­schei­det man zwischen Blackbox-, Whitebox- und Greybox-Tests: Bei ersteren stehen den Pe­ne­tra­ti­ons­tes­tern und -tes­te­r­in­nen lediglich die Adress­in­for­ma­tio­nen des Ziel­netz­werks bzw. -systems zur Verfügung. Beim Whitebox Pe­n­a­tra­ti­on Testing besitzen die Testenden um­fang­rei­ches Wissen über die zu testenden Systeme, etwa über die IP-Adressen und die ein­ge­setz­ten Software- und Hardware-Kom­po­nen­ten. Greybox Tests, die am häu­figs­ten genutzte Test­va­ri­an­te, kom­bi­nie­ren die Test­me­tho­den aus Blackbox und Whitebox Testing. Erste Kennt­nis­se über die IT-In­fra­struk­tur sind vorhanden, z. B. wozu die Systeme verwendet werden und was sie ungefähr ausmacht.

So führen Sie einen Pe­ne­tra­ti­ons­test durch

Wie können Sie Pe­ne­tra­ti­on Testing für Ihre Zwecke verwenden? Wir haben in den nach­fol­gen­den Ab­schnit­ten die wich­tigs­ten Aspekte für Ihren eigenen, in­di­vi­du­el­len Pe­ne­tra­ti­ons­test zu­sam­men­ge­fasst.

Pentest-Vor­aus­set­zun­gen

Um einen er­folg­rei­chen Pen-Test durch­zu­füh­ren, sollten Sie zunächst ein klares Konzept erstellen. Klären Sie, welche Kom­po­nen­ten es zu testen gilt, welchen Zeit­rah­men ein einzelner Test bzw. die gesamte Über­prü­fung Ihres Netzwerks haben soll und ob Sie alle not­wen­di­gen Werkzeuge zur Verfügung haben.

Diese Vor­be­rei­tungs­pha­se ist umso wichtiger, wenn Sie externe Tester bzw. Tes­te­r­in­nen mit dem Si­cher­heits­check be­auf­tra­gen und ein Whitebox-Test rea­li­siert werden soll. In diesem Fall ist es notwendig, dass Sie alle In­for­ma­tio­nen über Ihr Netzwerk und die teil­neh­men­den Systeme kom­mu­ni­zie­ren und vor­han­de­ne Do­ku­men­ta­tio­nen wei­ter­rei­chen. Anders verhält es sich bei einem Blackbox-Test, für den Sie aus­schließ­lich die Ziel­adres­se der je­wei­li­gen Test­ob­jek­te kundgeben.

Die besten Pen Testing Tools

Die Vielfalt an Netzwerk-An­griffs­for­men sorgt dafür, dass auch Pe­ne­tra­ti­ons­tes­tern und -tes­te­r­in­nen eine ganze Reihe ver­schie­de­ner Werkzeuge zur Verfügung stehen. Zu den wich­tigs­ten Tools zählen:

• Port-Scanner: Beim Port-Scanning werden offene Ports eines Com­pu­ter­sys­tems mithilfe spe­zi­el­ler Tools ausfindig gemacht.
• Schwach­stel­len-Scanner: Schwach­stel­len-Scanner (auch: Vul­nerabi­li­ty Scanner) über­prü­fen Systeme auf vor­han­de­ne Si­cher­heits­lü­cken, feh­ler­haf­te Kon­fi­gu­ra­tio­nen sowie un­ge­nü­gen­de Passwort- und Be­nut­zer­richt­li­ni­en.
• Sniffer: Mithilfe eines Sniffers lässt sich der Da­ten­ver­kehr eines Netzwerks ana­ly­sie­ren. Je besser dieser ver­schlüs­selt ist, desto weniger In­for­ma­ti­on werden dabei erhalten.
• Paket-Ge­ne­ra­to­ren: Paket-Ge­ne­ra­to­ren sind Tool zur Ge­ne­rie­rung bzw. Si­mu­la­ti­on von Netz­werk­da­ten­ver­kehr. Auf diese Weise wird im Rahmen eines Pe­ne­tra­ti­ons­tests tat­säch­li­cher Netz­werk­da­ten­ver­kehr imitiert.
• Passwort-Cracker: Mit Passwort-Crackern versuchen Pentester und -tes­te­r­in­nen an unsichere Kenn­wör­ter zu gelangen.

Viele der genannten Tools wurden explizit für Si­cher­heits­tests in Netz­wer­ken ent­wi­ckelt und sind daher auf ganz spe­zi­fi­sche Test­be­rei­che zu­ge­schnit­ten. Während der Großteil der Programme aus dem Open-Source-Sektor stammt, finden sich auch einige kom­mer­zi­el­le Si­cher­heits­an­wen­dun­gen, die in der Regel besser do­ku­men­tiert und mit einem um­fas­sen­den Support verbunden sind.

Ablauf eines Pe­ne­tra­ti­ons­tests

Der Ablauf beim Pe­ne­tra­ti­on Testing lässt sich grund­sätz­lich vor allem in die folgenden vier Bereiche einteilen:

Über­prü­fung des Netz­werk­kon­zepts

Bereits in der Vor­be­rei­tungs­pha­se kann ein Pe­ne­tra­ti­ons­test Un­ge­reimt­hei­ten oder konkrete Schwach­stel­len in der Kon­zi­pie­rung des Netzwerks oder der einzelnen Kom­po­nen­ten of­fen­ba­ren. Sind bei­spiels­wei­se ver­schie­de­ne An­wen­dun­gen mit mehreren Rech­te­grup­pen kon­fi­gu­riert, können diese schnell für Kom­pli­ka­tio­nen sorgen und ein Si­cher­heits­ri­si­ko für das gesamte Netzwerk dar­stel­len, selbst wenn dieses und die einzelnen ge­hos­te­ten Programme aus­rei­chend geschützt sind. Einige dieser Fälle lassen sich bereits im Vor­ge­spräch klären, andere wiederum sind erst durch einen prak­ti­schen Test belegbar.

Test der Här­tungs­maß­nah­men

Kernpunkt eines sicheren Fir­men­netz­werks ist, dass die in­vol­vier­ten Systeme best­mög­lich gehärtet sind. Beim Pentest geht es fol­ge­rich­tig auch darum, die un­ter­nom­me­nen Här­tungs­maß­nah­men zu über­prü­fen. Dabei geht es ei­ner­seits um in­stal­lier­te Software wie das Be­triebs­sys­tem, Sys­tem­diens­te oder Ap­pli­ka­tio­nen, die immer auf dem aktuellen Stand sein sollten. Sind aus Kom­pa­ti­bi­li­täts­grün­den mit anderen An­wen­dun­gen ältere Versionen in Gebrauch, sind al­ter­na­ti­ve Schutz­vor­keh­run­gen er­for­der­lich. Zu­sätz­lich spielen auch die Zugangs- und Au­then­ti­sie­rungs­vor­aus­set­zun­gen für die einzelnen Systeme und Programme eine große Rolle. Hier be­schäf­tigt sich Pe­ne­tra­ti­on Testing mit Themen wie:

• Zu­griffs­ver­wal­tung
• Pass­wort­nut­zung und -ver­schlüs­se­lung
• Nutzen exis­ten­ter Schnitt­stel­len und offener Ports
• de­fi­nier­te Re­gel­wer­ke (z. B. von Firewall)

Suche nach bekannten Schwach­stel­len

Es dauert im All­ge­mei­nen nicht lange, bis entdeckte Si­cher­heits­lü­cken bekannt werden, weshalb Pe­ne­tra­ti­ons­tes­tern und -tes­te­r­in­nen die An­griffs­punk­te der un­ter­such­ten Test­ob­jek­te in der Regel geläufig sind. Dank der Versions- und Patch­stän­de, die sie bei ihren Re­cher­chen über den Här­tungs­grad der Netz­werk­kom­po­nen­ten fest­ge­stellt haben, wissen sie daher schnell, welche An­wen­dun­gen ein Si­cher­heits­ri­si­ko dar­stel­len. Sollen viele Systeme in kurzer Zeit un­ter­sucht werden, lohnt sich der Einsatz von Schwach­stel­len-Scannern, die al­ler­dings nicht immer zu einem exakten Ergebnis führen.

Gezielter Einsatz von Exploits

Ge­wiss­heit darüber, ob sich gefundene Schwach­stel­len tat­säch­lich auch ausnutzen lassen, erlangt der Testende nur, indem er selbst einen ent­spre­chen­den Exploit einsetzt. Bei einer solchen Be­fehls­fol­ge handelt es sich in der Regel um Skripte, die von ver­schie­de­nen In­ter­net­quel­len be­reit­ge­stellt werden, al­ler­dings nicht immer sicher pro­gram­miert sind. Führt man einen solchen un­si­che­ren Exploit aus, besteht die Gefahr, dass die getestete Anwendung bzw. das System abstürzt und im schlimms­ten Fall sogar wichtige Spei­cher­be­rei­che über­schrie­ben werden. Hier sollte der Pe­ne­tra­ti­ons­tes­ter bzw. die Pe­ne­tra­ti­ons­tes­te­r­in also darauf bedacht sein, nur nach­weis­lich un­ge­fähr­li­che Skripte aus seriösen Quellen ein­zu­set­zen oder auf das Testen der Si­cher­heits­lü­cke zu ver­zich­ten.

Die Vor- und Nachteile von Pentests

Homogene Groß­rech­ner­struk­tu­ren gehören der Ver­gan­gen­heit an. Die heutigen de­zen­tra­len IT-Struk­tu­ren sorgen täglich für neue Si­cher­heits­lü­cken und Fehl­funk­tio­nen, die Software-Her­stel­ler mal schneller, mal langsamer beheben. Hier glänzen Pe­ne­tra­ti­ons­test mit folgenden Vorteilen:

• bei der Über­prü­fung der Systeme gehen Pentests we­sent­lich mehr ins Detail als ge­wöhn­li­che Si­cher­heits­checks
• die ele­men­ta­re Ziel­set­zung besteht darin, das Zu­sam­men­spiel der einzelnen Kom­po­nen­ten zu über­prü­fen
• externe Testende bringen eine zu­sätz­li­che Meinung und eine andere Sicht auf das zu­grun­de­lie­gen­de Si­cher­heits­kon­zept ein
• pro­fes­sio­nel­le Pe­ne­tra­ti­ons­tes­ter und -tes­te­r­in­nen sind speziell geschult und gehen ähnlich vor, wie es auch Cyber-Kri­mi­nel­le tun würde

Pe­ne­tra­ti­on Testing und ins­be­son­de­re die Zu­sam­men­ar­beit mit externen Testenden ist al­ler­dings auch mit gewissen Nach­tei­len verbunden:

• während der Aus­füh­rung bekommt das Pentest-Team Einsicht in Interna
• es besteht immer die Mög­lich­keit, dass der Pe­ne­tra­ti­ons­test Schäden ver­ur­sacht, die Sie im Nach­hin­ein nicht mehr beheben können
• Pentests liefern lediglich eine Mo­ment­auf­nah­me Ihrer Netz­werk­sys­te­me und sollten daher niemals zum Anlass für den Verzicht auf gängige Ab­wehr­maß­nah­men genommen werden

Im Übrigen zählt das so­ge­nann­te Social En­gi­nee­ring nicht zu den Risiken, die ein klas­si­scher Pe­ne­tra­ti­ons­test überprüft. Viele Dienst­leis­ten­de bieten die Über­prü­fung dieser mensch­li­chen Si­cher­heits­lü­cken in Un­ter­neh­men inklusive spe­zi­el­ler Schu­lun­gen aber optional an.