Penetrationstest

Immer mehr Kunden fragen uns gezielt nach Red Teaming. Beim Red Teaming werden im Gegensatz zu Penetrationstests Angriffe nicht vorab festgelegt. Vielmehr entscheiden die Prüfer, welche Angriffe durchgeführt werden. Bei Penetrationstests werden Schwachstellen detektiert, beim Red Teaming werden sie ausgenutzt. Die Schwachstellen werden dabei auf Produktivsystemen ausgenutzt, was ein enormes Risiko bedeutet. Für ein Red Teaming benötigt man ein Blue […]
weiterlesen …

In Ausgabe 1-2019 berichtet Tobias Glemser über Planungsaspekte und Stolpersteine bei der Prüfung von Webanwendungen durch Penetrationstests. Der Artikel beleuchtet die wichtigsten Planungsaspekte wie die Prüfung von Rollen- und Rechtemodellen, Umgang mit Web-Application-Firewalls und CAPTCHAs. Die JAVAPRO ist kostenlos auf der Webseite der Zeitschrift bestellbar.

Dass ein Pentest neben vielen Chancen auch Risiken mit sich bringt, muss einem Kunden im Rahmen einer Risikoaufklärung bewusst gemacht werden. Erst letztens wurde im Rahmen der Risikoaufklärung innerhalb einer Auftaktbesprechung die Frage gestellt Der Penetrationstest ist doch dazu da, um Risiken aufzuzeigen – nicht um den Betrieb zu stören. Wie bekommen wir dieses Risiko denn ausgeschlossen? Ein Kunde In […]
weiterlesen …

Diese Frage stellte mir ein Interessent (m/w/d) neben vielen weiteren bei einem Vorgespräch zum Thema Penetrationstests. Was gemeint ist und wieso er die Frage gestellt hat, wird in diesem Beitrag näher beleuchtet.

…oder: Die Anfänge von „Rise of the Machines“ Im Mai des Jahres 2016 (!) durfte ich bei einem unserer Kunden eine Lösung zur Automatisierung von Prozessabläufen über Systemgrenzen hinweg im Rahmen eines Penetrationstests prüfen. Dort sind mir dann mehrere Schwachstellen (siehe Advisory) aufgefallen, mit denen ich schlussendlich in die gesteuerten Systemabläufe eingreifen und eigenen Code ausführen konnte. Das war die […]
weiterlesen …