Phasen einen Penetrationstests

Der Testprozess umfasst verschiedene Phasen, die jeweils spezifische Ziele und Aufgaben haben. Dabei wird in die sieben verschiedenen Phasen Beauftragung, Informationsbeschaffung, Enumerierung, Identifikation, Exploitation, Post-Exploitation und Reporting unterschieden.

1. Beauftragung

In der Phase der Beauftragung werden weder aktive noch passive Angriffsmaßnahmen eingeleitet. In dieser Phase geht es darum den Scope, der zu testenden System abzustecken und mit dem Auftraggeber entsprechende Vereinbarungen zu treffen, die das Vorgehen legitimieren. Insbesondere geht es darum, die Erwartungshaltungen anzupassen, den Zeitraum der Untersuchung festzulegen und die Zielsysteme zu definieren.

2. Informationsbeschaffung

In der Phase der Informationsbeschaffung eines Penetrationstests wird versucht, möglichst viele Informationen über die Zielsysteme zu sammeln. Hierbei werden unterschiedliche Methoden genutzt, um einen möglichst umfassenden Überblick über das System zu erhalten. Dabei können sowohl öffentlich zugängliche Informationen, als auch interne Informationen wie beispielsweise Netzwerkpläne oder Zugangsdaten von Mitarbeitern genutzt werden. Ziel ist es, Schwachstellen und Angriffspunkte im System zu identifizieren, um diese später gezielt angreifen zu können. Eine umfassende Informationsbeschaffung ist essenziell für einen erfolgreichen Penetrationstest, da sie eine solide Basis für die weiteren Testphasen bildet.

3. Enumerierung

Die zuvor gesammelten Informationen werden nun genutzt, um das System weiter zu analysieren. Das Ziel dieser Phase ist es, eine möglichst vollständige Liste der gefundenen Systeme, Anwendungen oder Dienste zu erstellen, um in der nächsten Phase des Penetrationstests gezielt Angriffe durchführen zu können. Eine gründliche Durchführung der Enumerierungs-Phase ist entscheidend, um eine umfassende Liste der vorhandenen Schwachstellen und Angriffspunkte zu erhalten.

4. Identifikation

Die Identifikationsphase folgt auf die Enumerierungs-Phase und dient dazu, spezifische Informationen über das Zielsystem zu sammeln und Schwachstellen zu identifizieren. Anschließend folgt die Exploitation-Phase, in der gezielt die zuvor identifizierten Schwachstellen ausgenutzt werden, um tatsächlich in das System einzudringen und Zugriff auf geschützte Daten und Ressourcen zu erlangen.

5. Exploitation

In dieser Phase geht darum, tatsächlich in das System einzudringen und Zugriff auf geschützte Daten und Ressourcen zu erlangen. Hierbei werden gezielt Schwachstellen ausgenutzt, die in der vorherigen Phase identifiziert wurden. Das Ziel ist es, nachzuweisen, dass ein Angreifer in der Lage ist, tatsächlich in das System einzudringen und damit auch potenziell Schaden anzurichten. Es geht also darum, eine reale Bedrohung zu simulieren und Schwachstellen aufzuzeigen, die von potenziellen Angreifern ausgenutzt werden könnten.

6. Post-Exploitation

Nach der erfolgreichen Durchführung eines Exploits, geht es darum, Zugriff auf weitere Ressourcen innerhalb des Systems zu erlangen und sich innerhalb des Zielsystems zu bewegen. Möglicherweise wird sogar die Kontrolle über das gesamte System und dazugehörige Netzwerke erlangt. Das Ziel ist es, eine umfassende Liste der aufgedeckten Schwachstellen und Angriffsvektoren zu erstellen und konkrete Empfehlungen zur Verbesserung der IT-Sicherheit zu geben.

7. Reporting

Zum Abschluss eines erfolgreichen Penetrationstest gehört es dazu, dass die alle Informationen und Schwachstellen, die in den vorherigen Phasen gesammelt wurden, auch an den Auftraggeber in verständlicherweise weitergegeben werden. Dies geschieht in der letzten Phase, dem Reporting. Ziel ist es, dass der Auftraggeber über die identifizierten Schwachstellen Kenntnis erlangt und diese beheben kann.