Google Cloud leállása JAGUAR-LAND ROVER kibertámadás A jelszavak költségei CISA új sebezhetőségei Új DDoS támadás Ismerje meg a legújabb termékeket a kínálatunkban! Kövessen Minket a LinkedInen!
CybroAI

Schwachstellenanalyse und Penetrationstest

Kostenlose Schwachstellenanalyse und Penetrationstest

Unser kostenloses HACKR Schwachstellen-Suchtool empfehlen wir Unternehmen, die den Nutzen einer Schwachstellenanalyse infrage stellen. Ziel ist es, dass Organisationen ihre Server aus der Sicht von Cyberkriminellen und automatisierten Angriffstechnologien betrachten können.

■ ■ ■

HACKR

Was ist eine Schwachstellenanalyse und ein Penetrationstest?

Ziel einer Schwachstellenanalyse ist es, Sicherheitslücken in den vom Unternehmen betriebenen und definierten Systemen zu identifizieren und zu beheben, um die Wahrscheinlichkeit erfolgreicher Hackerangriffe – sei es gezielt oder durch automatisierte Angriffstools – zu reduzieren.

Methode Schwachstellenanalyse Penetrationstest
Schwachstellen… identifizieren identifizieren + Auswirkungen analysieren
Ausgangspunkt extern / intern extern / intern
Tiefe black‑ / gray‑ / white‑box black‑ / gray‑ / white‑box

Der wesentliche Unterschied zwischen Schwachstellenanalyse und Penetrationstest besteht darin, dass erstere bei der bloßen Identifikation von Schwachstellen endet, während letzterer zusätzlich eine praktische Überprüfung (Validierung) der entdeckten Schwachstellen umfasst. Auf Basis dieser Validierung lassen sich Art und Ausmaß potenzieller Schäden bewerten.

A vizsgálatok általános típusai

Black-box Schwachstellenanalyse

Black-box

Beim Black-box-Test nutzen wir ausschließlich die Möglichkeiten, die einem externen, anonymen Angreifer zur Verfügung stehen: öffentlich zugängliche Oberflächen, Registrierungsfunktionen und Formulare, vergessene Testseiten sowie durch Suchmaschinen indexierte Informationen.

Empfohlen, wenn: das System keine Benutzer- oder Administratorschnittstellen mit starker Authentifizierung verwendet.

Gray-box Schwachstellenanalyse

Gray-box

Bei einem Gray-box-Test werden neben Kunden- und Administratorinformationen auch technische Details und Dokumentationen berücksichtigt. Dabei erhalten wir Zugriff auf die Schnittstellen und Verbindungspunkte des Systems – entsprechend den Vorgaben des Auftraggebers.

Empfohlen, wenn: das System mehrere Berechtigungsstufen definiert oder die Benutzerkonten manuell verifiziert wurden.

White-box Schwachstellenanalyse

White-box

Beim White-box-Test verwenden wir nicht nur Kunden- und Administratorinformationen, sondern auch die vollständige Systemdokumentation des Auftraggebers – einschließlich der zugrunde liegenden Infrastruktur, eingesetzten Frameworks, Quellcodes und Konfigurationsdateien.

Empfohlen, wenn: das System hochsensible oder geschäftskritische Daten verarbeitet.

SAST

Static Application Security Testing (SAST)

Sicherheitsüberprüfung des Quellcodes oder der Binärdateien einer Software ohne deren aktive Ausführung. Mit dieser Methode lassen sich ausschließlich Schwachstellen identifizieren, die aus dem Quelltext oder der kompilierten Datei hervorgehen.

Empfohlen, wenn: Sicherheitslücken in der Programmierung oder Konfiguration der zu untersuchenden Software aufgedeckt werden sollen.

DAST

Dynamic Application Security Testing (DAST)

Diese Methode identifiziert Schwachstellen, die während der aktiven Nutzung und Laufzeit der Anwendung sichtbar werden. Für tieferliegende Probleme, wie solche auf Quellcode-Ebene, ist sie nicht immer geeignet.

Empfohlen, wenn: externe Angriffsflächen einer Anwendung in produktionsnaher Umgebung bewertet werden sollen.

IAST

Interactive Application Security Testing (IAST)

Kombiniert Merkmale der statischen und dynamischen Analyse. Auch erfahrene Angreifer nutzen bei gezielten Angriffen Methoden entsprechend dieser Strategie, um verwundbare Komponenten in Software, Systemen und Services zu identifizieren.

Empfohlen, wenn: eine ganzheitliche Sicherheitsüberprüfung der Anwendung sowohl aus interner als auch externer Perspektive erforderlich ist.

Parameter der Prüfungen

Umfang Methode Methodik Tiefe Technik Ausgangspunkt Intensität Ansatz Reichweite
Hosts Schwachstellenanalyse OWASP WSTG Black-box Netzwerkbasiert Internes Netzwerk Passiv Offen Fokussiert
Dienste Penetrationstest OWASP ASVS Gray-box Betriebssystem Externes Netzwerk Vorsichtig Versteckt Begrenzt
Funktionen OWASP MASTG White-box Anwendung Vor Ort Gezielt Umfassend
Rollen OWASP MASVS Drahtlos Quellcode Aggressiv
MITRE ATT&CK Physisch
PTES Social Engineering
Sonstige

DETAILS

Physischer Penetrationstest

Netzwerk- und Web-Schwachstellenanalyse, Penetrationstest

  • Prüfung aus dem Internet sowie aus dem internen Netzwerk – auch über VPN
  • Durchführung in Black-box-, Gray-box- oder White-box-Tiefe
  • Netzwerkerkennung und Analyse offener Ports
  • Festlegung der Prüfstrategie auf Basis identifizierter Dienste
  • Methodik gemäß dem OWASP Web Security Testing Guide (WSTG) (Detaillierte Prüfschritte)
  • Überprüfung der Einhaltung des OWASP Application Security Verification Standard (ASVS)
  • Praktische Ausnutzung und Auswirkungsanalyse identifizierter Schwachstellen (optional)
  • Detaillierter Prüfbericht mit Handlungsempfehlungen und aktiver Unterstützung
  • Re-Test der durchgeführten Korrekturen innerhalb von 16 Wochen nach dem Test
Physischer Penetrationstest
Sicherheitsprüfung mobiler Apps Sicherheitsprüfung mobiler Apps

Sicherheitsprüfung mobiler Anwendungen

  • Analyse von im Store verfügbaren APK- und IPA-Paketen
  • Analyse von APK- und IPA-Dateien ohne Obfuskation, Root-Erkennung oder Zertifikat-Pinning
  • Quellcodeanalyse der mobilen Anwendung
  • Testmethodik gemäß OWASP Mobile Application Security Testing Guide (MASTG)
  • Überprüfung der Konformität mit dem OWASP Mobile Application Security Verification Standard (MASVS)
  • Sicherheitsanalyse und Penetrationstests von Backend-APIs
  • Detaillierter Prüfbericht mit konkreten Verbesserungsvorschlägen und aktiver Unterstützung
  • Re-Tests der durchgeführten Korrekturen innerhalb von 16 Wochen nach der Prüfung
Betriebssystem-Hardening Betriebssystem-Hardening

Sicherheitsaudit und Hardening-Prüfung auf Betriebssystemebene (Windows und Linux)

  • Basierend auf CIS Benchmarks und MITRE ATT&CK
  • Einsatz automatisierter CIS-Hardening-Skripte
  • Systemweite Schwachstellenanalyse und Betriebssystem-Sicherheitsaudit
  • Unterstützung für Windows, Linux, OS/400 und weitere Betriebssysteme
  • Überprüfung der Funktionalität vorhandener Sicherheitslösungen
  • Kontrolle von Benutzer- und Rechtezuweisungen
  • Analyse der Netzwerkverbindungen
  • Überprüfung von Verschlüsselungstechnologien (BitLocker, LVM, LUKS)
  • Prüfung des Update-Status
  • Analyse der installierten Software im Abgleich mit der Software-Inventarisierung
  • Erkennung betrieblicher Sicherheitsdefizite
  • Detaillierter Prüfbericht mit Korrekturvorschlägen und aktiver Unterstützung
  • Nachprüfung der umgesetzten Maßnahmen innerhalb von 16 Wochen nach dem Audit
Betriebssystem-Hardening
Hardware-Schwachstellenanalyse Hardware-Schwachstellenanalyse

Hardware-Schwachstellenanalyse

  • Prüfung der Demontierbarkeit des Gehäuses
  • Analyse der Verkabelung, Unterbrechung und Wiederherstellung der Stromversorgung
  • Test von Tastenkombinationen
  • Bewertung der Manipulierbarkeit der physischen Umgebung
  • Suche und Prüfung zugänglicher Schnittstellen (Ports)
  • Seismische Belastungstests
  • Alarmfunktionstest
  • Überwachung und Manipulation von Kommunikationskanälen
  • Suche und Analyse von Datenträgern und Speichereinheiten
  • Überprüfung des Manipulationsschutzes von Firmware und Software
  • Analyse von Zugriffsprotokollen und Ereignisverarbeitung
  • Bewertung von Zugriffsrechten und Authentifizierungsmechanismen
Physischer Penetrationstest

Physischer Penetrationstest an Unternehmensstandorten

  • An einem vom Auftraggeber definierten Standort
  • Im Rahmen der vom Auftraggeber vorab genehmigten Bedingungen
  • Durchführung im Black-box- oder Gray-box-Verfahren
  • Basierend auf internationalen Empfehlungen zu Social Engineering, Phishing und Human Exploitation
  • Vor-Ort-Prüfung mit einer Dauer von 1 bis 3 Tagen
  • Open Source Intelligence (OSINT) Informationsbeschaffung
  • Analyse von Social-Media-Profilen der Mitarbeitenden (SOCMINT)
  • Geländeerfassung mit Drohne
  • Test von token-/kartengestützten Zutrittssystemen
  • Überprüfung von Türen und Schlössern
  • Kontrolle von CCTV- und Überwachungssystemen
  • Überprüfung auf unbefugtes Mitgehen (Tailgating)
  • Analyse von Büro-Zutrittssystemen
  • Kontrolle auf die Nutzung unbekannter Geräte
  • Prüfung der Sicherung von Dokumenten und Informationsmaterialien
  • Überprüfung von Bildschirmsperren und Arbeitsplatzsicherheit
  • Schutz personenbezogener Daten und Authentifizierungsinformationen
  • Test der Zugangsmöglichkeiten über fingierte Bewerbungsgespräche
  • Test der Zugangsmöglichkeiten über Wartungstechniker-Rollen
  • Impersonation (Identitätsübernahme)
  • Verwendung fingierter Hilfsanfragen per E-Mail
  • Visuelle Beweisdokumentation (Foto/Video)
  • Untersuchungsbericht mit Korrekturvorschlägen auf Ungarisch oder Englisch
Physischer Penetrationstest

Weitere Schwachstellenanalyse-Dienstleistungen

Ablauf der Schwachstellenanalyse

Beratung und Beauftragung
(Pre-engagement Interactions)

Im Rahmen einer kostenlosen Beratung werden Art, Tiefe, Umfang und Zeitrahmen der geplanten Prüfung(en) definiert (alle Parameter) sowie der daraus resultierende Preis festgelegt.

Die gewählten Prüfparameter – einschließlich Umfang, Zeitfenster (stundenweise) und Preis – werden im Dienstleistungsvertrag dokumentiert. Durch Vertraulichkeits- und Haftungsausschlusserklärungen gewährleisten wir die Sicherheit der Daten und Ergebnisse. Der Auftraggeber erklärt sich mit einer rechtlichen Zustimmung zur Durchführung der Arbeiten einverstanden.

Informationsbeschaffung
(Information Gathering)

Basierend auf den vom Auftraggeber definierten Zielen und den betroffenen Servern sowie Netzwerkkomponenten wird die Prüfstrategie festgelegt.

Strategieplanung
(Threat Modeling)

Vor Beginn der Prüfung werden die Systeme und offenen Ports im definierten Umfang erfasst, um die Ausführung der Infrastruktur nicht unnötig zu belasten oder deren Verfügbarkeit zu beeinträchtigen.

Schwachstellenanalyse
(Vulnerability Analysis)

Die Überprüfung erfolgt gemäß den vertraglich festgelegten Methoden mithilfe automatisierter und manueller Werkzeuge auf den ausgewählten Systemen.

Penetrationstest
(Penetration Testing)

Die während der Schwachstellenanalyse identifizierten potenziellen Schwachstellen werden praktisch getestet und hinsichtlich ihrer Auswirkungen bewertet – unter Verwendung der vertraglich definierten Methoden und Werkzeuge.

Validierung von Schwachstellen
(Exploitation)

Der Auftraggeber kann die Validierung der entdeckten Schwachstellen autorisieren, wodurch eine genauere Einschätzung ihrer tatsächlichen Kritikalität ermöglicht wird.

Ausnutzung von Schwachstellen
(Post Exploitation)

Der Auftraggeber kann die kontrollierte Ausnutzung der Schwachstellen genehmigen, um den Wert kompromittierter Systeme zu bestimmen, die Kontrolle über diese Systeme aufrechtzuerhalten und mögliche Folgeangriffe zu simulieren.

Berichterstattung
(Reporting)

Alle identifizierten Schwachstellen werden in einem umfassenden Management- und Technikbericht (auf Ungarisch und/oder Englisch) erläutert – inklusive Typ (CVE, CWE, OWASP, MITRE ATT&CK), Ausnutzbarkeit (CVSS, EPSS), Ort und empfohlener Behebung – ergänzt durch generierte Logdateien zur Nachvollziehbarkeit der Prüfbedingungen.

Falls im Bericht Schwachstellen enthalten sind, deren Behebung eine weitere Beratung erfordert, wird der Maßnahmenplan gemeinsam mit dem Auftraggeber ergänzt.

Nachprüfung
(Remediation Testing)

Nach der Umsetzung der Maßnahmen prüfen wir, ob die identifizierten Schwachstellen erfolgreich behoben wurden.

Abschlussbericht und Beratung
(Final audit report, consultation)

Die Ergebnisse der Nachprüfung werden dem Auftraggeber im Rahmen eines Abschlussberichts präsentiert. Bei weiterem Beratungsbedarf entwickeln wir gemeinsam die nächsten Schritte.

Methoden und Empfehlungen zur Schwachstellenanalyse

Die von den Expertinnen und Experten der Makay Kiberbiztonsági Kft. durchgeführten Prüfungen basieren auf folgenden internationalen Methoden, Empfehlungen und Anforderungsrahmen – oder orientieren sich daran:

Warum sind regelmäßige Prüfungen wichtig?

  1. Erhöhte Exposition gegenüber Angriffen: Angreifer greifen heutzutage automatisiert und auf Basis öffentlich zugänglicher Datenbanken wahllos Organisationen an.
  2. Einhaltung gesetzlicher Vorschriften (NIS2, DSGVO, 8/2020. (VI.22.) Empfehlung der Ungarischen Nationalbank usw.): Für Organisationen ist der Schutz von Daten nicht nur aus Reputationsgründen entscheidend.
  3. Veraltete, zunehmend anfällige Software: Software kann auch dann verwundbar werden, wenn sie längere Zeit nicht verändert wurde.
  4. Allgemeine Änderungen: Änderungen in Entwicklung, Konfiguration oder Struktur – selbst durchgeführte Patches – können neue Schwachstellen einführen.

Unabhängig vom Tätigkeitsbereich empfehlen Cybersicherheitsexperten in der Regel mindestens eine jährliche Prüfung. In besonders sicherheitskritischen Umgebungen – insbesondere dort, wo sensible Daten verarbeitet oder die Infrastruktur häufig geändert wird – sind häufigere Prüfzyklen angebracht.

Die häufigsten Schwachstellentypen und deren Behebung

Hoch- und kritisch eingestufte Schwachstellen der letzten 30 Tage

Angebot für Schwachstellenanalyse-Dienstleistung

Kontaktieren Sie unsere Ethical Hacker über den Angebot anfordern-Button und fordern Sie eine Einschätzung zur Bedrohungslage Ihrer betriebenen Systeme an!

Parameter der Schwachstellenanalyse und Penetrationstests Ablauf der Schwachstellenanalyse und des Penetrationstests Merkmale von Schwachstellenanalyse, Penetrationstest und Red Teaming Grenzen und Ergebnisse automatisierter Schwachstellenanalysen OWASP Top 10 Schwachstellenanalyse und Penetrationstest OWASP Web Security Testing Guide Checkliste Threat-Led Penetration Testing (TLPT), Red Teaming Cybersicherheit für Organisationen und Systeme der Raumfahrtindustrie

Hírek, események, termékek és riasztások

Hírek, események, termékek és riasztások

Iratkozzon fel hírlevelünkre és ne maradjon le a legfontosabb kiberbiztonsági hírekről, eseményekről, termékekről és riasztásokról!

FELIRATKOZÁS
Angebot anfordern