Warum Pentests, wenn ich regelmäßig Updates einspiele und Schwachstellenscans mache?
Warum Pentests, wenn ich regelmäßig Updates einspiele und Schwachstellenscans mache? 🤔
Diese Fragestellung hat Nina Wagner, Geschäftsführerin unseres Partners MindBytes, in einem Video beantwortet.
Zum Hintergrund: In einem Pentest werden Schwachstellen in Systemen und Anwendungen aufgedeckt. Die Ergebnisse liefern einen praxisnahen Blick auf den Ist-Zustand in puncto Sicherheit durch neutrale Dritte. Risiken werden beschrieben und können nachfolgend priorisiert behoben werden.
Hier sind die Kernaussagen des Videos zusammengefasst:
1️⃣ Schwachstellenscanner haben ihre Grenzen. Sie finden nur das, was sie kennen. Sie können den Kontext nicht berücksichtigen und sind nicht in der Lage, komplexe Schwachstellen aufzudecken.
2️⃣ Updates schützen nicht vor allen Schwachstellen dieser Welt. Beispielsweise entstehen Schwachstellen aus Fehlkonfigurationen und es gibt unbekannte Schwachstellen, für die es – in der Natur der Sache – noch keine Updates gibt.
3️⃣ In Pentests sind immer Menschen involviert. Sie können Zusammenhänge erkennen und Auffälligkeiten miteinander kombinieren, die jede für sich betrachtet nicht schlimm sind, zusammen aber eine Schwachstelle darstellen. Menschliches Mitdenken, Kreativität, Erfahrung und Know-how sind unerlässlich.
4️⃣ Schwachstellenscanner neigen dazu, einen Bericht mit 1.000 Seiten zu generieren und man weiß nicht, wo man anfangen soll und was überhaupt wichtig ist. Menschen können bei der Priorisierung helfen. Zudem wichtig: Scannen allein hilft nicht, man muss auch beheben.
5️⃣ Vergesst nicht die Absicherung der internen Umgebung. Man sollte davon ausgehen, dass es Angreifer früher oder später rein schaffen, ob per Phishing oder über technische Schwachstellen. Intern bietet das weit verbreitete Active Directory eine große Bandbreite, was aus Sicherheitssicht schiefgehen kann mit weitreichenden Konsequenzen.
Mit MindBytes bieten wir von preiswerten Starter-Paketen zum Einstieg bis hin zum Red Teaming eine breite Palette an Leistungen an. Interesse? Dann schnell zum Hörer greifen und 02261 9155050 wählen.
