Die Kunst des weißen Hackens – Ziele, Methoden und Praxis bei Penetrationstests - Prof. Dr. Norbert Pohlmann

T. Propach, N. Pohlmann:,
„Die Kunst des weißen Hackens – Ziele, Methoden und Praxis bei Penetrationstests”.
IT-Sicherheit – Management und Praxis,
DATAKONTEXT-Fachverlag,
5/2012

Wer die Nachrichten aufmerksam verfolgt, der hört beinahe täglich von erfolgreichen Hackerangriffen und gestohlenen Unternehmensdaten. Jede Woche werden große Unternehmen wie Sony, LinkedIn, Blizzard, Philips und AMD Opfer von Cyberangriffen. Die Hacker finden immer wieder Schwachstellen in den IT-Systemen der Unternehmen, die sie für erfolgreiche Angriffe nutzen können. Doch warum sind Hacker so erfolgreich, und wie kann sich ein Unternehmen besser vor ihnen schützen? Penetrationstests liefern darauf die Antworten.

Cyber-Sicherheit lässt sich auf verschiedene Art und Weise testen. So kann zum Beispiel das IT-Sicherheitskonzept einer theoretischen Prüfung unterzogen und die Konfiguration der IT-Sicherheitssysteme kritisch betrachtet werden. Auch können Zertifizierungen umgesetzt werden, die die Einhaltung von Sicherheitsrichtlinien bestätigen. Die Liste der möglichen Testszenarien ist lang und jeder Test hilft, die IT-Sicherheit zu erhöhen und Erfolgsaussicht eines Hackers zu verringern. Doch wie sieht die Arbeit eines Hackers eigentlich aus? Führt ein Hacker einen Angriff auf ein IT-System aus, so testet er auch dessen IT-Sicherheitsmechanismen. Es werden Informationen gesammelt, Konzepte auf Schwachstellen abgetastet und die Konfiguration der Zielsysteme überprüft. Hacker und Unternehmen testen somit zum Teil sehr ähnlich. Allerdings halten sich Hacker dabei nicht an anerkannte Testmuster und standardisierte Zertifizierungsprozesse. Sie testen auf ihre eigene kreative und unkonventionelle Art und Weise und kennen im Prinzip keine Grenzen.

Was sind Penetrationstests?
Als Penetrationstest werden Testszenarien bezeichnet, bei denen Cyber-Sicherheitsexperten einen Rechner oder ein Rechensystem mit den Mitteln und Methoden eines Hackers auf Schwachstellen untersuchen. Dazu beauftragen und autorisieren Unternehmen meist externe IT-Sicherheitsfirmen und erhalten von diesen gegen Bezahlung einen Bericht über die durchgeführten Tests und die dabei gefundenen Schwachstellen.

…