Die Pentest-Box – Den Prüfer vor Ort ersetzen #pentestwissen
Im Rahmen von Penetrationstests werden viele Netzwerkpakete durch Prüfer:innen mithilfe von Prüfsystemen generiert und an Zielsysteme über ein Netzwerk gesendet. Sofern Prüfziele nur aus Netzwerken des Kunden erreichbar sind, musste bisher das Prüfsystem samt Prüfenden daher auch an Ort und Stelle gebracht werden. Nicht gerade effizient und ressourcenschonend. Obendrein z. B. in Zeiten einer Pandemie und damit einhergehender Reduzierung der […]
weiterlesen …
Es war mal wieder ein Dienstag… Ich stand unweit des Einganges zum Gebäude eines namenhaften deutschen Finanzinstituts und wartete geduldig. Eine Gruppe von Anzugträgern betrat hastig das Gebäude. Ich lief hinterher, habe kurz meine Hand gehoben, die noch den heißen Kaffee hielt, um zu signalisieren, dass ich ebenfalls gerne das Gebäude betreten würde, in der anderen Hand der Aktenkoffer. Höflich […]
weiterlesen …
Warum das Ausnutzen / Exploiten von Schwachstellen bei einem Penetrationstest nur manchmal sinnvoll sein kann #pentestwissen
„Wenn man eine Schwachstelle findet, dann soll man diese ausnutzen, um den Beweis anzutreten, was mit der Schwachstelle alles möglich sein kann“ So oder so ähnlich formulieren es manche Pentester:innen. Dieser Artikel soll beleuchten, warum nicht jede bei einem Penetrationstest gefundene technische Schwachstelle (vollständig/in Tiefe) ausgenutzt werden sollte und verdeutlichen, wie wir beim Auffinden von Schwachstellen vorgehen. Ein Pentest hat […]
weiterlesen …
Wann macht Aufklärung/Reconnaissance/OSINT in einem Penetrationstest Sinn? #pentestwissen
Liest man Literatur, ist der erste Schritt eines Pentests die Aufklärung/Reconnaissance/OSINT (Opensource Intelligence). Dabei suchen die Pentester:innen so viel Informationen wie möglich über eine Zielumgebung. Wie „echte Hacker“ (sic!) Das können z. B. Domänennamen, IP-Adressen, verwendete Anwendungen sein. Am Ende hat man eine Liste potentieller Angriffsziele mit verschiedenen möglichen Methoden. Doch ist diese Liste für Sie hilfreich? Gibt es für […]
weiterlesen …
Warum der Preis kein alleiniges Entscheidungskriterium bei der Auswahl von Penetrationstest Dienstleistern sein sollte #pentestwissen
Der Preis ist heiß! So oder so ähnlich lief es früher in der gleichnamigen Spielshow im linearen Fernsehen mit Harry Wijnvoord und Walter Freiwald ab: in der Vorrunde eines Preisspiels musste der Preis eines angebotenen Gegenstandes geschätzt werden. Dabei war es aber wichtig, als Kandidat den Preis nicht zu hoch anzusetzen. Aber was genau hat das mit #Pentestwissen zu tun? […]
weiterlesen …