360° Penetrationstest: Kritische Schwachstellen im internen Netzwerk

Viele Unternehmen lassen bereits ihre extern erreichbaren IT-Systeme regelmäßig auf Schwachstellen untersuchen und erhöhen damit ihre Resilienz gegenüber Angriffen aus dem Internet. Doch wie steht es um die interne Sicherheit des Firmennetzwerks, wenn ein Angreifer z. B. über Phishing einen Mitarbeiter-PC kompromittiert? Immerhin ist dies noch immer die häufigste Ursache für einen erfolgreichen Hackerangriff¹.

In der Praxis offenbaren unsere internen Penetrationstests (in kurz: Pentest) oft gravierende und einfach zu findende Schwachstellen, welche Ransomware-Angriffe begünstigen und zu einer Kompromittierung des gesamten Firmennetzwerks führen können. Daher wollen wir mit diesem Artikel einen Einblick in einen Pentest geben, mit dem wir bereits vielen Kunden helfen konnten, ihr Sicherheitsniveau zu optimieren: Der 360° Pentest im internen Netzwerk.

Unser 360° Pentest richtet sich an Unternehmen, die sich einen ersten Sicherheitseindruck im internen Netzwerk verschaffen wollen und bisher wenig Erfahrung mit professionellen Pentests gesammelt haben. Ein 360° Pentest fängt dort an, wo ein Schwachstellenscanner (z. B. Nessus oder Qualys) aufhört. 

Hierbei werden möglichst viele sicherheitsrelevante Themenfelder im internen Netzwerk aus Sicht eines Angreifers betrachtet, die unserer Erfahrung nach häufig ausgenutzt werden. Er eignet sich aus diesem Grund ebenfalls für Unternehmen, die bisher nur einzelne Themenfelder im internen Netzwerk berücksichtigt haben (z. B. Schwachstellenscan oder Active Directory Audit), jedoch noch keinen Gesamteindruck erlangen konnten. 

Der Pentest erfolgt sowohl aus Sicht eines unauthentifizierten Angreifers (Putzkraft-Szenario) als auch eines authentifizierten Angreifers (z.B. kompromittierter Mitarbeiter-PC). Dadurch werden Angriffspfade und Schwachstellen aus beiden Angreiferperspektiven aufgedeckt. 

Der Fokus liegt auf der Identifikation der wichtigsten und kritischsten Schwachstellen, deren Behebung ein hohes Kosten-Nutzen-Verhältnis mit sich bringen. Dies betrifft vor allem Schwachstellen, durch die ein Angreifer sich im Netzwerk ausbreiten, auf Systeme zugreifen und seine Rechte erhöhen kann. 

Folgende Themenfelder werden typischerweise bei einem 360° Pentest betrachtet:

• Active Directory & Passwortsicherheit
• Netzlaufwerksicherheit
• Patch Management & bekannte Schwachstellen 
• Netzwerksegmentierung 

Wir betrachten die verschiedenen Themenfelder und deren Schwachstellen hierbei nicht isoliert, sondern zeigen zudem auf, welche Angriffspfade sich durch eine Kombination der Schwachstellen ergeben können. 

Als fernao security force führen wir für unsere Kunden komplexe und professionelle Angriffssimulationen auf die gesamte Unternehmens-IT-Infrastruktur im Rahmen von Red Team Assessments, TIBER und TLPT durch. Diese Assessments werden oftmals verdeckt und „leise“ durchgeführt, sodass sie möglichst praxisnah erfolgen und auch die Prozesse zur frühzeitigen Angriffserkennung evaluieren. Diese Expertise nutzen wir auch in unseren 360° Pentests. Lediglich die Zielsetzung und die Vorgehensweisen unterscheiden sich hierbei. 

Der 360° Pentest grenzt sich von anderen Security-Assessments ab, da er weder eine reine Simulation eines Hackerangriffs darstellt (Red Teaming) noch das Ziel verfolgt, einen bestimmten Themenbereich möglichst vollumfassend zu betrachten (z. B. AD Audit oder Schwachstellen-Assessment). Er bedient sich jedoch an Herangehensweisen beider Durchführungsformen und ermöglicht eine kosteneffizientere Bewertung des Sicherheitsniveaus für das gesamte interne Netzwerk, ohne auf relevante Themenbereiche zu verzichten. 

Unser 360°-Ansatz bietet folgende Vorteile: 

• Abdeckung mehrerer sicherheitsrelevanter Themenfelder 
• Identifikation der wichtigsten und kritischsten Probleme
• Kontextbezogene Berücksichtigung von Schwachstellen
• Kosteneffiziente Bewertung des Sicherheitsniveaus 

Andere Herangehensweisen sind womöglich besser geeignet, falls Sie

• Ihre sicherheitsrelevanten Baustellen aus vergangenen Pentests bereits kennen
• eine möglichst realitätsnahe und zielgerichtete Angriffssimulationen benötigen
• Ihre Angriffserkennung optimieren wollen (Blue Team)
• eine vollumfängliche Sicherheitsbeurteilung bestimmter Systeme oder Netzwerke benötigen 

Diese Ziele sowie Ausgangslagen deuten auf ein bereits erhöhtes Sicherheitsniveaus hin. Um den Reifegrad in diesen Fällen noch weiter zu erhöhen, bieten wir weitere maßgeschneiderte Security-Assessments an. Melden Sie sich gerne für ein persönliches Beratungsgespräch bei uns, damit wir einen geeigneten Ansatz für Ihr Unternehmen evaluieren können.

Nach einem 360° Pentests erhalten Sie von uns einen Bericht, der alle ermittelten Schwachstellen logisch gruppiert und mit einem nachvollziehbaren Risiko für eine anschließende Priorisierung einstuft. Jede beschriebene Schwachstelle enthält Hintergrundinformationen, eine detaillierte Beschreibung inkl. Proof-of-Concept sowie konkrete Handlungsempfehlungen, um das Sicherheitsniveau zu erhöhen. 

In der Management Summary erhalten Sie zudem eine Zusammenfassung der grundlegenden Probleme und eine Bewertung des allgemeinen Sicherheitsniveaus unter Berücksichtigung aller Themenbereiche. Der Bericht wird durch ein Excel-Tracking-Sheet ergänzt, das bei der Schwachstellenbehebung und weiteren Nachbereitung unterstützt. 

Nach dem Pentest werden im Rahmen einer Abschlussbesprechung alle Schwachstellen durch unsere Berater vorgestellt und entsprechende Maßnahmen mit Ihnen diskutiert. 

Wir rechnen nach tatsächlichem Aufwand ab. Erfahrungsgemäß sollten Sie für diesen Test ca. 12.000€ einplanen.