Unsere Cyber Security Consultants überprüfen während eines Penetrationtests die Sicherheit Ihrer IT-Systeme aus dem Blickwinkel eines potenziellen Angreifers. Langjährige Erfahrung in den Bereichen Administration und Entwicklung sowie tiefgreifendes Verständnis der eingesetzten Technologien ermöglichen unseren Teams die Durchführung von Penetrationstests in einem sehr breitem Spektrum. Wir untersuchen für Sie Applikationen die auf Web-Technologien basieren. Hierzu zählen wir zum Beispiel Firmen-Webseiten, Content-Management-Systeme (CMS), Web-Anwendungen wie Web-Shops oder REST-API Backends für Ihre Mobile App.
Unsere Teams können Ihnen dabei helfen, die sogenannte "Time To Breach" Ihres Unternehmen zu ermitteln. Also die Zeit, die ein Angreifer im Durchschnitt benötigt um die Perimeter Ihres Firmennetzes zu durchbrechen. Dabei wird die gesamte Infrastruktur Ihres Unternehmens untersucht.
Alle Penetrationstests werden unter der Beachtung der BSI-Methodik "Durchführungskonzept für Penetrationstests" durchgeführt.
Web-Penetrationstests
Penetrationstests von Anwendungen die auf Webtechnologien basieren erfordern Kenntnisse über allgemeine Webentwicklung, Tools, den akuellen Stand der Technik und Best Practice in der Industrie. Ein Penetrationstester muss sich mit mehreren Programmier- oder Skriptsprachen, Frameworks und Datenbanken auskennen. Unsere Cyber Security Consultants vereinen alle genannten Fähigkeiten auf sich. Wir unterstützen Sie und Ihre Developer gerne bei der Entwicklung Ihrer Produkte schon im Entwicklungsprozess, in dem Sie uns von Anfang an in den Entwicklungsprozess einbinden oder rechtzeitig vor dem "Launch" Ihrer Webanwendung als prüfende Instanz hinzuziehen.
Wir testen für Sie Webpräsenzen, unabhängig davon ob es ein "im Hause" entwickeltes Content-Management-System oder ein Online-Banking-Portal ist. Gerne evaluieren wir die REST-API Ihrer mobilen Anwendung (z.B. Versichertenakte, Instant-Messanger oder Kryptowährung-Wallets).
Red Teaming
Definition: Red Teaming bezeichnet eine komplexe Angriffssimulation, welche die gesamte Organisation in den Blick nimmt. Im Allgemeinen gibt es ein klar definiertes Ziel, wie die Erlangung von Kundendaten oder den Zugriff auf kritische Systeme. Schlussendlich sollen nicht nur Schwachstellen aufgezeigt werden, sondern es soll auch die Handlungsfähigkeit der gesamten Organisation in der Abwehr dedizierter Angriffe beurteilt werden.
Individueller Scope
Wir unterstützen Sie auch gerne bei individuellen Anforderungen oder speziellen Problemstellungen.
Web-Penetrationtest Light
- Test der Serverkonfiguration aus dem Internet, z.B. SSL/TLS-Einstellungen
- Enumerierung des Systems und in der Anwendung eingesetzter Technologien mit teilweise automatisierten Tools
- Automatisierte Schwachstellenscans
- Abgleich der eingesetzten Technologien mit bekannten Sicherheitslücken (CVE)
- Sofern gegeben: Überprüfung der Login- und Passwort-Reset-Funktionalität auf Schwachstellen
- Rudimentäre Überprüfung auf Injection-Angriffe wie Cross Site Scripting (XSS) und SQL Injection (SQLi) sowie auf Cross Site Request Forgery (CSRF)
- Berichterstellung mit Darstellung aller gefundenen Schwachstellen
- Detaildarstellung der Befunde enthält eine Beschreibung der Schwachstelle selbst inklusive Referenzierung auf CVE und/oder CWE, und wie diese ausgenutzt wurde sowie eine Handlungsempfehlungen zur Mitigierung
- Qualitätssicherung des Berichts
Web-Penetrationtest Medium
- Inhalte des Web-Penetrationstest Light
- Ausgiebiges Testen aller Webformulare auf Sicherheitslücken, wie z.B. Injection-Angriffe
- Enumerierung und rudimentäres Testen der API-Endpunkte
- Rudimentäre Überprüfung des Berechtigungskonzepts auf Schwachstellen in der Autorisierung
Web-Penetrationtest Deep
- Inhalte des Web-Penetrationstest Medium
- Abdeckung des kompletten OWASP Top 10-Katalogs in den Tests
- Detaillierte Tests aller Eingabemöglichkeiten, aller gefundenen API-Endpunkte und des Berechtigungskonzepts (z.B. Zugriff auf Inhalte zwischen Nutzern, Dateiupload-Funktionalität und Dateiablage)
- Enumeration von Kundenkonten, falls nötig auch über Bruteforce-Angriffe
- Wenn möglich, erstellen einer Kill Chain zur kompletten Kompromittierung der Anwendung und/oder des Backends
- Proof-of-Concept-Erstellung und -Dokumentation zum einfacheren Nachvollziehen der Befunde
Red-Team Penetrationtest / Red Teaming
- Individuelles Scoping
- "Spielregeln": Was ist erlaubt, welche Systeme und welche Methoden sind ausgenommen etc.
- Was ist das Ziel: z.B. Kundendaten erlangen oder allgemein laterale Bewegung im Netzwerk
- Information Gathering/Reconnaissance
- Test der Serverkonfiguration aus dem Internet und/oder dem internen Netzwerk, z.B. SSL/TLS-Einstellungen
- Enumerierung der Systeme und eingesetzten Technologien bzw. Anwendungen, teilweise mit automatisierten Tools
- Automatisierte Schwachstellenscans nach Bedarf
- Ermitteln von verwertbaren Informationen über öffentliche Quellen (Open Source Intelligence/OSINT)
- Exploitation
- Ausnutzung von gefundenen Schwachstellen
- Laterale Bewegung im Netzwerksegment
- Überschreiten von Netzwerkgrenzen
- Erlangung von Dateisystemzugriffen
- Erlangung von Credentials
- Ermittlung exfiltrierbarer Informationen
- Anwendung von Phishing-Methoden zur Erlangung sensitiver Informationen oder von Zugang zum internen Netzwerk
- Exfiltration
- Beweissicherung in Form von zugänglichen Daten wie Kundendaten, Passwörtern, Dateien
- Allgemeines
- Berichterstellung mit Darstellung aller gefundenen Schwachstellen und Befunde
- Die Detaildarstellung enthält eine Beschreibung der Schwachstellen und Auffälligkeiten
- Die Befundbeschreibungen enthalten Referenzierungen auf die CVE und/oder die CWE, wie diese ausgenutzt wurde sowie Handlungsempfehlungen zur Mitigierung
- Qualitätssicherung des Berichts
-
-
CIWATCH
IT-Monitoring
Das umfassendste KnowHow zur Überwachung Ihrer IT-Services
Mehr erfahren
-
-
CIDESK
OTOBO
Geschäftsprozesse und Kommunikation perfekt managen
Mehr erfahren
-
-
CISQUAD
Wir machen sauber
Cyber-Angriffe abwehren und
Sicherheit wieder herstellen
Mehr erfahren
-
-
CICHECK
Wir hacken Sie!
Stellen Sie Ihre Sicherheit
auf die Probe
Mehr erfahren
