Kommentar: zehn Punkte für mehr IT-Sicherheit
Bei der Konzeption einer nachhaltigen IT-Sicherheitsstrategie sind Penetrationstests ein wichtiger Bestandteil, um zu gewährleisten, dass Schwachstellen in der IT-Infrastruktur entdeckt werden, bevor Angreifer dies tun. Damit ein umfassender, individualisierter Penetrationstest sowohl für den Kunden als auch für den Tester nachhaltig erfolgreich ist, empfehlen wir von secion zehn essentielle Verhaltens- bzw. Maßnahmenregeln. In der Konsequenz wird Penetrationtesting zum Bestandteil eines erweiterten Maßnahmenpakets.
Ein Kommentar von Patrick Jung, Leiter Professional Services bei secion
Erst kürzlich haben neue Bedrohungen wie die schnelle Verbreitung des Erpressungstrojaners Locky gezeigt, dass ausschließlich passive und punktuell durchgeführte Schutzmaßnahmen längst nicht mehr ausreichen, um die IT-Infrastruktur von Firmen und Organisationen dauerhaft zu schützen. Die Problematik: IT-Sicherheitsüberprüfungen wie Penetrationstests finden in der Regel nur unregelmäßig statt. Der Zeitraum zwischen den einzelnen Audits ist zu lang, um neue Angriffe auszuschließen. Die zentrale Frage lautet daher: Wie kann sich ein Unternehmen heutzutage bestmöglich und nachhaltig absichern? Um in der heutigen IT-Systemlandschaft sicher zu sein, müssen Schwachstellen fortlaufend, proaktiv und automatisiert geprüft werden. Daher empfehlen wir unseren Kunden, den Penetrationstest als Basis eines erweiterten Maßnahmenpakets einzusetzen.
Um dieses Maßnahmenpaket zu vervollständigen, bieten sich 24/7-Schwachstellen-analysen als ressourcenschonendes Security-as-a-Service-Modell an. Eine entsprechende Lösung sollte zudem automatisch individualisierte Reports generieren sowie Handlungsempfehlungen konkret und priorisiert benennen. Zu empfehlen ist darüber hinaus ein separater Report für die Geschäftsführung bzw. das Management, der weniger in die technische Tiefe geht, sondern einen umfassenden Überblick über die derzeitige Sicherheitslage der IT-Infrastruktur gibt.
Generell gilt es, bei der Planung bzw. Durchführung eines Penetrationstests folgende Punkte zu beachten, um die Erwartungen des Kunden mit einem effizienten Ergebnis zufriedenzustellen oder gar zu übertreffen:
1. Enge Zusammenarbeit zwischen Kunden und Dienstleister: Informationen müssen schnell, am besten telefonisch, ausgetauscht werden, da die Reaktionszeit so gering wie möglich gehalten werden muss (bspw. bei der Identifizierung kritischer Schwachstellen). Benennen Sie feste Ansprechpartner auf beiden Seiten und nutzen Sie den kurzen Dienstweg.
2. Definieren Sie die Ziele des Audits! Auf welche Fragen möchten Sie eine Antwort erhalten? Werden beispielsweise bestimmte Compliance-Vorgaben eingehalten? Funktioniert das Patch-Management? Wie regelmäßig werden Server gewartet? Und nicht zu vergessen: Welche Zielgruppe wird den Audit-Bericht erhalten?
3. Nutzen Sie zweistufige Pen-Tests (Blackbox + Whitebox bzw. Greybox), um die realen Bedrohungen mit Ihrer Wahrnehmung abzugleichen. So ist feststellbar, ob ein Angreifer ein bestimmtes Ziel fokussiert. Nutzen Sie auch Tests mit Zugangsdaten, um die Gefahren und Möglichkeiten eines internen Angreifers einschätzen zu können.
4. Definieren Sie Handlungsgrenzen: Darf eine Schwachstelle ausgenutzt oder soll sie nur theoretisch bewertet werden? Geben Sie konkrete Zeitrahmen für die aktiven Tests vor, damit gewährleistet ist, dass die betreffenden Fachabteilungen bzw. Ressourcen effizient besetzt bzw. eingeplant sind. secion empfiehlt, grundsätzlich eine moderate „Angriffsstärke“ zu wählen.
5. Informationen über kritische Schwachstellen, die durch einen Penetrationstest aufgedeckt wurden, müssen sofort an den Kunden weitergegeben werden. Nur so kann gewährleistet werden, dass sie ohne Verzögerung behoben werden.
6. Besprechen Sie Pen-Tests auch mit Ihren Dienstleistern und lassen Sie auch deren Infrastruktur prüfen. Häufig bezahlen Sie für bestimmte Sicherheitsdienstleistungen. So können Sie prüfen, ob diese richtig umgesetzt und wirksam sind.
7. Bereits gemeldete und beseitigte Schwachstellen sollten im Audit-Bericht entsprechend deklariert sein. Nur so kann das Management die Dringlichkeit der zu treffenden Maßnahmen einschätzen. Außerdem wird die Arbeit der IT-Verantwortlichen positiv hervorgehoben.
8. Nutzen Sie die Ergebnispräsentation vor Ort, damit sowohl das Management als auch die Administratoren ihre Fragen platzieren können und ein Know-how-Transfer stattfindet.
9. Regelmäßiges Re-Audit, z.B. alle sechs Monate, zeigen, ob die beschlossenen Maßnahmen erfolgreich durchgeführt wurden oder ob Nachbesserungen erforderlich sind. Generell ist zu beachten, dass sich die Ist-Situation hinsichtlich bestehender und neuer Schwachstellen ständig ändert. Re-Audits stellen sicher, dass regelmäßig auf den gegenwärtigen Ist-Zustand reagiert wird.
10. Planen Sie genügend Vorlauf ein, da einige Dokumente zusätzlich zur
Beauftragung geprüft und unterzeichnet werden müssen (u.a. Datenschutzerklärung, Haftbarkeits- und Vertragsvereinbarungen). Hier sind i.d.R. die Rechtsabteilung und die Geschäftsleitung beteiligt, daher sollten vier Wochen vor Beginn des Audits alle Unterlagen vorliegen bzw. auf Vollständigkeit geprüft werden.
Wie die IT-Sicherheitsexperten im Bereich Next Generation Pentesting vorgehen, lesen Sie unter https://www.secion.de/pressemitteilungen/it-sicherheitsspezialist-secion-leitet-naechsten-level-von-penetrationtesting-ein.html .
Über die secion GmbH:
Gegründet im Jahr 2004, hat sich die secion GmbH als führender Spezialist für IT-Sicherheit in Deutschland etabliert. Das Unternehmen mit Sitz in Hamburg hat sich insbesondere auf Lösungen und Consulting in den Bereichen E-Mail-Security, Data Leakage Prevention, Network Security, Gateway und Endpoint Protection spezialisiert. Zudem engagiert sich secion für die Sensibilisierung in puncto IT-Sicherheit und bietet Unternehmen individuelle Security Workshops an. Spezielle Awareness-Schulungen vermitteln Mitarbeitern essenzielles Wissen rund um IT-Sicherheit. Nicht zuletzt ist secion Partner der Allianz für Cyber-Sicherheit, einer Initiative des Bundesamts für Sicherheit in der Informationstechnik (BSI). Über die Partnerschaft teilt das Unternehmen Erfahrungswerte und Analysen. Darüber hinaus bietet secion umfassende Expertise im Bereich Output Management. Dies umfasst unter anderem das Erstellen und Verwalten von Geschäftsdokumenten sowie die Anbindung und Steuerung verschiedener Druckertypen. – https://www.secion.de
Firmenkontakt
secion GmbH
Patrick Jung
Paul-Dessau-Str. 8
22761 Hamburg
+49 (40) 389071-0
pj@secion.de
http://www.secion.de
Pressekontakt
Sprengel & Partner GmbH
Marius Schenkelberg
Nisterstraße 3
56472 Nisterau
+49 (0)2661-912600
ms@sprengel-pr.com
http://www.sprengel-pr.com
