Anzeige
Anzeige
Anzeige
Anzeige
Beitrag drucken

Penetration Testing

Härtetest für Netzwerk-Sicherheit

Im Wettlauf zwischen Angreifern, die sich durch illegalen Zugriff auf Unternehmensnetzwerke bereichern wollen, und Sicherheitsverantwortlichen befinden sich die Angreifer häufig im Vorteil. Denn ihre Methoden werden zunehmend ausgefeilter, während die Abwehrstrategien bislang nicht im notwendigen Umfang Schritt halten. Hinzu kommt, dass die meisten Unternehmen keine validen Kenntnisse darüber besitzen, wo sich kritische Schwachstellen in ihrer IT befinden. Um hier gegenzusteuern empfiehlt sich die methodische Suche nach Sicherheitslücken mittels sogenannter Penetrationstests, um Risiken anschließend systematisch beseitigen zu können.

Bild: Fotolia/alphaspirit

Vor einigen Jahren galten Unternehmen bereits als geschützt gegen Schadsoftware und Know-how-Diebstahl, wenn sie Firewalls und Virenscanner implementiert hatten. Diese Annahme verliert mittlerweile ihre Gültigkeit: So erklärte unlängst RSA-Vorstand Art Corviello anlässlich seiner Rede auf der Sicherheitstagung ‚RSA Conference Europe‘, dass, falls er die Position eines ‚Chief Information Security Officer‘ (CISO) innehätte, seine Einsparungsmaßnahmen in erster Linie den Bereich ‚Antiviren‘ betreffen würden. Denn diese spürten durchschnittlich nur noch 30 bis 40 Prozent der Gefahren im Netz auf.

Diese Quote lässt sich leicht erklären, denn Angriffe werden – wenn sie wirtschaftlich motiviert sind – mit speziell auf die jeweilige Umgebung individualisierten Tools durchgeführt und nicht mittels wahlloser Viren-Attacken. Hinzu kommt, dass selbst im Hinblick auf Routine-Angriffe die Wirksamkeit der Standard-Maßnahmen als relativ begrenzt zu bezeichnen ist, weil sie in der Regel mittels retrograd basierter Überprüfungen nur jene schadhaften Codes detektieren können, die bereits bekannt sind. Da jedoch ständig neue Viren geschrieben werden, werden die Systeme durch diesen Ansatz nicht gegen unmittelbar aufgetretene Bedrohungen geschützt.

Methodische Durchleuchtung des Unternehmensnetzwerks

Gleichzeitig fristet die IT-Sicherheit in Industrieunternehmen vielfach noch ein Schattendasein und wird tendenziell eher ausgeklammert, weil sie – aus Managementsicht – nicht besonders attraktiv ist. Denn Sicherheitsmaßnahmen und -personal verursachen Kosten, ohne dass ein rechnerisch nachweisbarer Beitrag zur Wertschöpfung geleistet wird. Folglich sind die Maßnahmen im Vergleich zu anderen IT-Projekten, etwa im Bereich Backup, aufgrund der ohnehin knappen Budgets meist unterdimensioniert. Um diese Diskrepanz auszugleichen, empfiehlt sich eine methodische Durchleuchtung der Unternehmensnetzwerke. Auf diese Weise kann aufgedeckt werden, in welche Bereiche gezielt investiert werden muss, um die Unternehmens-IT wirkungsvoll zu schützen und so einen kontinuierlichen Geschäftsbetrieb zu unterstützen.

Organisation kommt vor technischen Maßnahmen

In Umkehrung dazu ist es jedoch – vor allem in komplexen Organisationen – nicht sinnvoll einen Penetrationstest durchzuführen, wenn im Unternehmen keinerlei durchgängige Konzepte inklusive der dazugehörenden Richtlinien bezüglich der IT-Sicherheit vorliegen. Von daher sollte diese Methodik nicht eingesetzt werden, um eine Sicherheitsstrategie zu entwickeln, sondern erst dann, wenn diese – zumindest rudimentär und hinterlegt mit entsprechenden Maßnahmen – vorhanden ist. Eine grundsätzliche Vorgehensweise bezüglich Penetrationstests ist definiert, unter anderem in der Studie ‚Durchführung von Penetrationstests‘, herausgegeben vom BSI. Der tatsächliche Umfang der Überprüfung ist jedoch im Einzelfall davon abhängig, wie exponiert das Unternehmen in der Öffentlichkeit steht – also wie hoch die Angriffswahrscheinlichkeit und wie groß der mögliche Schaden, der daraus resultiert, ausfallen. Prinzipiell können Penetrationstests entweder automatisiert mittels Schwachstellen-Scanner oder individualisiert durch Beauftragung eines externen Dienstleisters durchgeführt werden.

google plus


Das könnte Sie auch interessieren:

Schaeffler Technologies aus Herzogenaurach arbeitet laufend daran, die eigenen Produktions- und Intralogistikprozesse zu verbessern. Beim Neubau eines Distributionszentrums waren die Ansprüche gerade an das Zusammenspiel von Automation und Software entsprechend hoch.‣ weiterlesen

Der Fachkräftemangel wird als größte Hürde auf ihrem Weg zur Digitalisierung angesehen und die Ausbildungseinrichtungen stellen sich zunehmend darauf ein. Um den Nachwuchs gezielt auf die Arbeit in der vernetzten Industrie vorzubereiten, hat etwa die Hochschule Dresden eine Industrie-4.0-Modellfabrik aufgebaut.‣ weiterlesen

Oetinger Aluminium probt für den Ernstfall: Angenommen, die IT-Systeme des Unternehmens fallen einem Hackerangriff zum Opfer. Was passiert dann? Es gilt, den Überblick zu behalten und so die Folgen wie Datendiebstahl, Spionage oder den Ausfall von Systemen möglichst gering zu halten – also einfach den Notfallplan zu befolgen. Die Realität ist jedoch eine andere: Wie bei knapp der Hälfte aller Industrieunternehmen in Deutschland wäre auch hier kein Notfallplan zur Hand.1 Ab sofort stellt sich Oetinger diese Fragen nicht mehr, denn die IT-Abteilung hat jetzt eine softwarebasierte Notfallplanung im Einsatz.‣ weiterlesen

Blitz-Umfrage unter Managern und Hochschulprofessoren im VDE: Deutschlands Innovationskraft in Gefahr VDE-CEO Ansgar Hinz: KI-Forschung gleicht Kampf gegen Windmühlen VDE fordert Konzentration auf Mikroelektronik und IT-Security, um wettbewerbsfähig zu bleiben‣ weiterlesen

Mit ihren neuen Open Shuttles will die Knapp AG besonders flexible Organisationen des innerbetrieblichen Warentransportes erlauben. Der Clou an den selbstfahrenden Transportfahrzeugen ist, dass sie Lastspitzen in einem anderen Teil des Lagers durch den selbstständigen Wechsel ihres Einsatzsortes auffangen sollen.‣ weiterlesen

Anzeige
Anzeige
Anzeige