Kunden fordern Penetrationstest-Bericht fürs Netzwerk – was genau wird da eigentlich geprüft?

Schaut mal genau in den Fragebogen zur Informationssicherheit: Wird da explizit ein interner oder nur ein externer Test verlangt? Konzerne schicken da oft einfach Standard-Templates raus. Wenn eure APIs und Webdienste, die Kundendaten verarbeiten ohnehin nur in der Cloud laufen, könnt ihr das interne Büronetzwerk ausklammern und ordentlich Kosten sparen.

Die typischen Prüfpunkte sind: offenliegende SSH- und RDP-Ports, Verschlüsselungssammlungen des VPN-Servers, DNS-Zonentransfers und veraltete Webserver-Versionen. Pentester schießen euch nicht einfach das System ab; sobald sie eine Lücke finden, machen sie Screenshots als Nachweis und stoppen den Vorgang, bevor sie Rechte eskalieren oder sensible Daten abziehen.

Wir standen letztes Jahr vor der gleichen Anforderung und haben für unser Moskauer Setup mit 4 Servern 180.000 RUB gezahlt. Der eigentliche Test dauerte 4 Werktage, der fertige Report brauchte nochmal 3 Tage. Gefunden wurden zwei Berechtigungsprobleme mittlerer Schwere und eine veraltete Bibliothek. Nach dem Patchen gabs einen kurzen Nachtest und der Kunde hat den Bericht anstandslos durchgewunken.

Vorsicht bei Billigangeboten im Bereich von 50.000 bis 70.000 RUB. Die meisten werfen da nur einen automatisierten Vulnerability-Scanner an und klatschen euch das rohe PDF als Bericht hin. Sicherheitsprüfer bei Großkonzernen sehen das sofort und schmettern solche Berichte gnadenlos ab.

Haltet vor Vertragsunterschrift unbedingt drei Punkte schriftlich fest: 1) Tests nur außerhalb der Kernarbeitszeiten und abgestimmt auf Backup-Zyklen, 2) sofortige Meldepflicht bei Entdeckung kritischer Lücken ohne Verzug, 3) ein kostenloser Nachtest innerhalb von 30 Tagen nach Behebung der Schwachstellen.

macht vor testbeginn auf jeden fall von allen vms frische snapshots. und an den tagen wo getestet wird: absolute deploy-sperre keine updates oder code-releases einspielen, sonst blickt bei den traffic-logs keiner mehr durch.

Lasst euch vorab die Zertifizierungen der ausführenden Auditoren vorlegen. Wenn das technische Personal international anerkannte Zertifikate im Bereich Ethical Hacking oder Netzwerksicherheit vorweisen kann, geht der Bericht im IT-Sicherheitskomitee eures Kunden meist ohne zähe Rückfragen durch.

Notiert, danke.

Bei uns war es so. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt. Aus Erfahrung weiß ich das.

Ein Thema, das gerade aktuell ist.

Hier muss man eine Unterscheidung treffen. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Wenn deine Situation anders ist, ändert sich das natürlich.

Ich möchte kurz warnen. Ein nicht getestetes Backup ist kein Backup.

Das allein zu versuchen, ist der teuerste Weg. An deiner Stelle würde ich so vorgehen.

Kannst du das etwas genauer erklären? Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Das war's, entschuldige, wenn ich zu lang war.

Da hast du recht. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Ich stimme voll und ganz zu. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Mich interessiert das auch. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten. Nur als Notiz, könnte nützlich sein.

Ich habe diesen Weg schon hinter mir ich erzähl mal. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Aus Erfahrung weiß ich das.

Ich bin ein kleines Unternehmen ich erzähle es aus meiner Sicht. übrigens nur weil alle es tun, heißt es nicht, dass es richtig ist.