Penetrationstests wie ein echter Angreifer, nur mit Ihrer Unterschrift vorab
Wir simulieren reale Angriffswege gegen Ihre Anwendungen, Netze und Mitarbeitenden, in einem Umfang und nach Regeln, die Sie schriftlich freigeben. Danach zeigen wir, was funktioniert hat, wie und was Sie zuerst beheben sollten.
Überblick
Wie wir testen
Ein Penetrationstest ist ein autorisierter Angriff auf Ihre eigenen Systeme. Wir suchen Schwachstellen, versuchen sie auszunutzen und hören dort auf, wo die Rules of Engagement es vorsehen. Scanner liefern Kandidaten, Menschen entscheiden, welche davon wirklich eine Tür öffnen.
Wie viel wir vorher wissen, verändert den Test. Beim Black-Box-Test beginnen wir nur mit öffentlich verfügbaren Informationen, wie ein externer Angreifer. Beim Grey-Box-Test erhalten wir den Zugang eines normalen oder privilegierten Benutzers, was ein gezielteres Vorgehen erlaubt. Beim White-Box-Test, auch Clear-Box- oder logikbasierter Test genannt, sehen wir alles: Architektur, Konfiguration und Quellcode. Er dauert am längsten, liefert das vollständigste Bild und eignet sich besonders für Anwendungen.
Wir können einem anerkannten Prüfleitfaden folgen, zum Beispiel OSSTMM, PTES, OWASP, ISSAF, PCI PTG, NIST SP 800-115 oder CICA ITAC, oder einem eigenen Leitfaden, den Sie vorgeben. Der Test lässt sich auf die Anforderungen von DSGVO, HIPAA oder HISO ausrichten.
Für wen es gedacht ist
Organisationen, die wissen wollen, wie ihre Systeme standhalten, bevor es jemand weniger Höfliches herausfindet, und alle, deren Kunden, Prüfer, Versicherer oder Rahmenwerke wie ISO/IEC 27001, PCI DSS oder SOC 2 regelmäßige unabhängige Tests erwarten.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Black-Box-Tests
Kein Vorwissen. Wir beginnen bei Ihren öffentlichen Endpunkten und arbeiten uns hinein, so wie es ein externer Angreifer tun muss.
Grey-Box-Tests
Wir testen mit dem Wissen und den Rechten eines normalen oder privilegierten Benutzers. Schneller und gezielter als Black Box, ohne den reinen Blick von außen.
White-Box-Tests
Voller Zugang zu Dokumentation, Konfiguration und Quellcode, für die gründlichste Sicht auf interne wie externe Schwachstellen.
Methodik nach Wahl
Ein anerkannter Leitfaden wie OSSTMM, PTES, OWASP oder NIST SP 800-115, oder ein eigener, der zu den Erwartungen Ihres Prüfers oder Kunden passt.
Spezialisierte Tests
Webanwendungen und Shops, APIs, mobile Apps, Netzwerke, Cloud und Menschen. Sie lassen sich in einem Projekt kombinieren.
Nachtest
Sobald Sie die Befunde behoben haben, testen wir sie erneut und halten fest, welche geschlossen sind.
So läuft der Auftrag ab
Kickoff und Scoping
Wir legen Ziele, Testart, Methodik und Ausschlüsse fest. Eine Vertraulichkeitsvereinbarung kann schon vor dem ersten Termin unterzeichnet werden.
Angebot und Freigabe
Ein Angebot, danach die schriftliche Freigabe durch eine dazu berechtigte Person und Rules of Engagement: Testfenster, Ansprechpartner und das Vorgehen bei kritischen Funden.
Testdurchführung
Aufklärung, Schwachstellensuche und kontrollierte Ausnutzung im vereinbarten Rahmen. Was nicht bis zum Bericht warten kann, melden wir sofort.
Übergabe der Ergebnisse
Empfehlungen, ein Management-Bericht mit Risikobewertung und ein technischer Bericht mit Proofs of Concept, gemeinsam besprochen mit den Personen, die handeln werden.
Nachtest und Abschluss
Wir prüfen Ihre Korrekturen und schließen das Projekt mit einem Feedbackgespräch ab. Auf Wunsch mit einem Zertifikat über das Projekt, das jeder auf unserer Website prüfen kann.
Was Sie erhalten
- Vereinbarter Umfang und Rules of Engagement
- Management-Bericht mit Risikobewertung
- Technischer Bericht mit Proofs of Concept und Hinweisen zur Behebung
- Priorisierte Empfehlungen
- Ergebnisse des Nachtests für die behobenen Befunde
- Optionales Zertifikat über das erfolgreiche Projekt, prüfbar unter /verify
Fragen
Welche Testart sollen wir wählen?
Black Box zeigt, was ein Außenstehender erreicht. Grey Box schafft in derselben Zeit mehr und deckt ab, was ein angemeldeter Benutzer erreicht. White Box findet am meisten. Wenn Sie unsicher sind, sagen Sie uns, was Sie beunruhigt, und wir empfehlen eine Testart im Angebot.
Stört der Test unseren Produktivbetrieb?
Testfenster, ausgeschlossene Systeme und Techniken legen wir in den Rules of Engagement fest, und während des Tests gibt es einen Ansprechpartner auf Ihrer Seite. Ein Restrisiko bleibt bei aktiven Tests immer, deshalb sprechen wir vorher darüber und nicht hinterher.
Ist das Zertifikat eine Compliance-Zertifizierung?
Nein. Es belegt, dass das Projekt stattgefunden hat und abgeschlossen wurde, und jeder kann es auf unserer Website prüfen. Es zertifiziert Sie nicht nach einer Norm oder einem Gesetz.
Testen Sie nach der Behebung erneut?
Ja. Ein Nachtest der berichteten Befunde ist Teil des Projekts, das wir anbieten, und das Ergebnis wird dokumentiert.
Verwandte Leistungen
- Governance und RisikoRisikobewertungRisikobewertung von Infrastruktur, Netzwerk und Anwendungen durch Black Fox Security: Wahrscheinlichkeit gegen Schadensausmaß, Risikoregister und Behandlungsoptionen.
- Managed SecuritySchwachstellenmanagementRegelmäßige Schwachstellenprüfungen von Black Fox Security: Scans, Triage, Priorisierung nach Ausnutzbarkeit und Exposition, Nachverfolgung und Trendberichte.
- Managed SecuritySystemhärtungSystemhärtung von Black Fox Security: Endgeräte, Server und Netzwerke, sichere Konfigurationsbaselines, Aufbau von Monitoring und persönliche Sicherheit.
- Governance und RisikoInformationssicherheits-AuditUnabhängige Audits der Informationssicherheit von Black Fox Security nach ISO/IEC 27001, 27002, DSGVO, PCI DSS, Ihren Richtlinien oder einem Kundenfragebogen.
Sagen Sie uns, was getestet werden soll
Nennen Sie uns die Ziele und das, was Ihnen Sorgen macht. Wir melden uns mit Umfang, Testart und Angebot.