Nachfolgend findet ihr die Kernaussagen zusammengefasst.
Zum Hintergrund: In einem Pentest werden Schwachstellen in Systemen und Anwendungen aufgedeckt. Die Ergebnisse liefern einen praxisnahen Blick auf den Ist-Zustand in puncto Sicherheit durch neutrale Dritte. Risiken werden beschrieben und können nachfolgend priorisiert behoben werden.
1️⃣ Schwachstellenscanner haben ihre Grenzen. Sie finden nur das, was sie kennen. Sie können den Kontext nicht berücksichtigen und sind nicht in der Lage, komplexe Schwachstellen aufzudecken.
2️⃣ Updates schützen nicht vor allen Schwachstellen dieser Welt. Beispielsweise entstehen Schwachstellen aus Fehlkonfigurationen und es gibt unbekannte Schwachstellen, für die es – in der Natur der Sache – noch keine Updates gibt.
3️⃣ In Pentests sind immer Menschen involviert. Sie können Zusammenhänge erkennen und Auffälligkeiten miteinander kombinieren, die jede für sich betrachtet nicht schlimm sind, zusammen aber eine Schwachstelle darstellen. Menschliches Mitdenken, Kreativität, Erfahrung und Know-how sind unerlässlich.
4️⃣ Schwachstellenscanner neigen dazu, einen Bericht mit 1.000 Seiten zu generieren und man weiß nicht, wo man anfangen soll und was überhaupt wichtig ist. Menschen können bei der Priorisierung helfen. Zudem wichtig: Scannen allein hilft nicht, man muss auch beheben.
5️⃣ Vergesst nicht die Absicherung der internen Umgebung. Man sollte davon ausgehen, dass es Angreifer früher oder später rein schaffen, ob per Phishing oder über technische Schwachstellen. Intern bietet das weit verbreitete Active Directory eine große Bandbreite, was aus Sicherheitssicht schiefgehen kann mit weitreichenden Konsequenzen.
Hast du auch eine gewisse Frage zu IT-Sicherheit, die du dir schon immer gestellt hast? Dann schick sie uns durch und wir beantworten sie dir gerne.
hallo@mind-bytes.de
