Beschreibung
Das Ziel unseres Security Warning Systems ist Überprüfung der Sicherheit von IT-Systemen und Netzwerken, um ihre Systemlandschaft zu analysieren auf eventuelle Angriffsmöglichkeiten von außen. Durch die kontrollierten Angriffe werden besonders realitätsnah eventuelle Schwachstellen aufgedeckt.
Informationen zu Prüftiefe und Berichtsform
Bei dieser Prüftiefe geht es in erster Linie um die Informationsbeschaffung. Dabei werden möglichst viele Informationen gesammelt, indem verschiedene öffentliche Informationsquellen durchsucht werden und die Ergebnisse über die betroffenen Systeme dokumentiert werden. Es werden sowohl technische als auch nichttechnische Informationen gesammelt.
Die technischen Informationen können Einblicke in eine Netzwerkstruktur (intern) oder Einblicke in IT-Adressbereiche zeigen. Es kann aber auch im Rahmen einer der Vorgehensweise passieren, dass man sogar die Hardware bis hin zu Passwörtern findet. Im Allgemeinen erreichen wir in dieser Stufe einen Überblick über das Unternehmen bis hin zu seinen Detailinformationen.
Eventuelle Informationsquellen in diesem Vorgang sind etwa eine Webseite, Suchmaschinen, soziale Netzwerke, verschiedene Datenbanken oder auch das ein oder andere Domänensystem. Dabei erhalten Sie je nach Wunsch einen Standardbericht (falls keine der anderen Alternativen gewählt wurde) mit den entsprechenden aufgefundenen Fehlern oder Schwachstellen.
Bei dieser Vorgehensweise wählen wir aus dem Softwarebereich, aus freien und kommerziellen Programmen. Teilweise werden auch selbstentwickelte Programme, die zur Verfügung stehen, in diesem Vorgang eingesetzt.
Die Prüfungen werden über spezielle Schwachstellenanalysewerkzeuge und Exploit-Tools durchgeführt. In diesem Vorgang sind die Vorbereitung und Erfahrung der Prüfer gefragt, um eine erfolgreiche und ergebnisorientierte Prüfung durchzuführen. Dies garantiert Ihrem Unternehmen Schwachstellen zu finden, welche möglicherweise jahrelang übersehen wurden. Durch gezielte Indizierung der einzelnen Systemkomponenten werden Informationen zusammengetragen. Dadurch wird unser Security Warning System Ihr Spion Ihrer Netzwerktechnik. Wir gehen so praxisnah wie möglich vor, damit Sie auch jeden einzelnen Schritt nachvollziehen können.
Noch einmal kurz zur allgemeinen Vorgehensweise: Bei der Prüftiefe Medium gehen wir also aktiv vor und sprechen gezielt ihr System an, um viele Informationen zu erhalten. Bei Netzwerktests gehen wir vom einfachen üblichen Port Scan über das direkte Ansprechen von einzelnen Diensten zur Informationsgewinnung bis hin zur Identifizierung von individuellen Ansprechstellen der getesteten Systeme. Für die Prüfung der physikalischen Gegebenheiten benötigt man eine andere Prüftiefe, da hierfür bestimmte Faktoren genaustens besprochen werden müssen.
In diesem Teil des Security Warning Systems werden durch verantwortungsvolles Vorgehen Angriffsmöglichkeiten ermittelt, um gezielt Schwachstellen auszunutzen. Dafür werden etwa sensitive Informationen ausgelesen oder Systeme kompromittiert, um sich darauf zu manifestieren. Wenn dies gelungen ist, kann von da aus sehr häufig in Systeme eingetragen werden und mögliche Angriffsziele erreicht werden. Das ist die Königsdisziplin, um zu sehen, wie sicher mein Netzwerk oder meine Systemlandschaft ist.
Damit geht ein sehr hoher Aufwand einher, was natürlich sowohl zeitlich, aber ganz besonders die Fähigkeit des Mitarbeiters, der diese Vorgehensweise abdeckt, in Anspruch nimmt. Das begründet sich nicht nur daraus, dass es von Kunde zu Kunde unterschiedlich ist, welche Daten und Systeme besonders kritisch sind.
In einem gemeinsamen Gespräch werden die Vorgehensweisen besprochen und abgestimmt, damit vielversprechende Ergebnisse für Sie erzielt werden können.
Selbstverständlich reagieren wir immer tagaktuell auf die Bewegung in der IT-Sicherheit, sodass wir immer die besten Prüfmöglichkeiten für den Kunden anbieten können.
Wo wir in diesem Schritt, bzw. in dieser Maximum/professionellen Prüftiefe besonders hohen Wert legen, ist die Dokumentationsleistung. Zu dieser Stufe würden wir Ihnen empfehlen, ein umfangreicher und ausführlicher Bericht mit dementsprechend aufgeführten Skizzen und Bildmaterialien zu nehmen. Dieses dient zur visuellen Darstellung, indem im Einzelnen aufgeführt wird, wo eventuell größere Schwierigkeiten zu finden sind. Das hat den Vorteil, dass auch ein nicht professioneller Fachmann sehen kann, dass man es unter Umständen mit einer größeren Schwierigkeit/Schwachstelle zu tun hat oder haben könnte.
Bei dieser Berichtsform werden alle Ergebnisse, die mit den Werkzeugen festgestellt worden sind, in verständlicher Form dargestellt.
Dieser Bericht stellt einen reinen Ergebnisbericht dar, dabei werden alle Verbindungen dargestellt und eventuelle Probleme oder Schwachstellen angezeigt. Eine Bewertung der Schwachstellen wird mit diesem Bericht nicht verbunden.
Bei dieser Berichtsform werden alle Ergebnisse, die mit den Werkzeugen festgestellt worden sind, in verständlicher Form dargestellt. Zusätzlich wird mittels einer Management Summary ein kurzer Überblick über die gefundenen Problemzonen, Schwachstellen etc. aufgeführt.
Durch die nichttechnische Darstellung der Ergebnisse ist es möglich, auch im großen Kreis die Management-Entscheidungen voranzutreiben.
Bei dieser Berichtsform werden alle Ergebnisse, die mit den Werkzeugen festgestellt worden sind, in verständlicher Form dargestellt. Zusätzlich wird mittels einer Management Summary ein kurzer Überblick über die gefundenen Problemzonen, Schwachstellen etc. aufgeführt.
Zusätzliche Dokumentation über Bildmaterial (wie Zeichnungen etc.) wird grafisch darstellen, wie wir die möglichen Ziele erreicht haben. Diese Berichtsform macht es Ihnen möglich, sämtliche Vorgehensweisen nachzuvollziehen, die durch Ihre Auswahl auch in maximaler Form dargestellt werden.
Diese Berichtsform macht nur Sinn, wenn Sie sich auch für eine der tieferen Prüfungen entscheiden.
Auch in dieser Berichtsform wird versucht, durch verständliche Darstellung der Ergebnisse einzelne Management-Entscheidungen voranzutreiben.
Bewertungen
Es gibt noch keine Bewertungen.