Ein Penetrationstest ist ein autorisierter, kontrollierter Versuch, Schwächen in Anwendungen, Netzwerken und Konfigurationen zu finden und auszunutzen, bevor es andere tun. Eine Schwachstellenanalyse ist die breitere, systematische Suche nach bekannten Schwächen. Gemeinsam zeigen sie Ihre Angriffsflächen und die Prioritäten für Behebungen.
TEMERON zählt Penetrationstests und Red Teaming zu seinen Cybersicherheitskompetenzen, neben Schwachstellenanalyse, Sicherheitsüberwachung und Vorfallreaktion.
Was wir untersuchen
- Webanwendungen und APIs, auch Software, die wir nicht selbst entwickelt haben.
- Cloud-, lokale und hybride Infrastruktur: exponierte Dienste, Konfiguration und Zugriffskontrolle.
- Analyse bekannter Schwachstellen; Zuordnung der Befunde zu MITRE ATT&CK, wo sinnvoll.
- Nachtests nach der Behebung, damit Sie den Abschluss nachweisen können.
Von Befunden zu Behebungen
Ein Bericht ist nur nützlich, wenn er Veränderungen bewirkt. Da TEMERON auch Software entwickelt und Infrastruktur härtet, helfen wir Ihrem Team bei der Behebung: sichere Konfiguration, Zugriffsverwaltung, CI/CD-Härtung und Sicherheit von Anfang an in Neuentwicklungen. Befunde können auch in die laufende Überwachung mit TEMERONs XDR, unserer eigenen Wazuh-Installation, einfließen.
Tests und NIS2
NIS2 schreibt Penetrationstests nicht ausdrücklich vor. Die Risikomanagementmaßnahmen umfassen aber Sicherheit in Entwicklung und Wartung einschließlich Schwachstellenbehandlung und -offenlegung sowie Richtlinien und Verfahren zur Bewertung der Wirksamkeit der Cybersicherheits-Risikomanagementmaßnahmen (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 Buchst. e und f). Regelmäßige Tests können diese Nachweise liefern.
Häufig gestellte Fragen
Was unterscheidet Schwachstellenanalyse und Penetrationstest?
Eine Schwachstellenanalyse identifiziert systematisch bekannte Schwächen. Ein Penetrationstest geht weiter: Er versucht, sie im vereinbarten Rahmen auszunutzen, um zu zeigen, was ein Angreifer tatsächlich erreichen könnte.
Verlangt NIS2 einen Penetrationstest?
NIS2 nennt Penetrationstests nicht ausdrücklich. Gefordert sind Schwachstellenbehandlung und Verfahren zur Wirksamkeitsbewertung von Sicherheitsmaßnahmen (Art. 21 Abs. 2 Buchst. e und f). Tests sind ein üblicher Weg, diese Anforderungen zu erfüllen und nachzuweisen.
Beeinträchtigen Tests unsere Systeme?
Umfang, Zeitplan und Methoden werden vor Beginn schriftlich vereinbart, damit die Prüfung kontrolliert bleibt. Produktionskritische Systeme können in vereinbarten Zeitfenstern oder einer Staging-Umgebung geprüft werden.
Helfen Sie bei der Behebung?
Ja. TEMERON entwickelt auch Software und härtet Infrastruktur. Auf den Bericht können Unterstützung bei der Behebung und ein Nachtest folgen.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Art. 21 Abs. 2 Buchst. e und f