Bei einem Penetrationstest (auch Pentest genannt) handelt es sich um eine aktive Prüfung der Sicherheit. Ein Sicherheitsexperte versucht, Schwachstellen in einem Computersystem zu finden und auszunutzen. Der Zweck dieses simulierten Angriffs besteht darin, Schwachstellen in der Verteidigung eines Systems zu ermitteln, die Cyberkriminelle ausnutzen könnten.
Ein Penetrationstest kann in unterschiedlichen Ausprägungen durchgeführt werden. Der Unterschied liegt in der Menge der Informationen zu den Zielsystemen, die der Kunde dem Pentester preisgibt. Die verschiedenen Varianten umfassen Black-Box (keine Informationen), Grey-Box (einige Informationen) oder White-Box (Weitergabe von relevanten Informationen wie Konfigurationen, Quellcode und Diagramme).
Die am häufigsten benutzten Methoden sind:
Kick-off Meeting mit dem Projekt-Team des Kunden um den Scope zu besprechen und final zu vereinbaren.
Gemäss Offerte und den Details aus dem Kick-off Meeting prüfen wir die Systeme des Kunden auf Schwachstellen.
In einem detaillierten Report inkl. Management Summary werden alle Befunde detailliert erklärt und Behebungsmassnahmen vorgeschlagen.
Im Debriefing Meeting mit dem Projekt-Team des Kunden wird der Report und damit alle Befunde detalliert angeschaut und besprochen.
