Penetrationstest verlangt – was ist der Unterschied zum Pentest/Sızma Testi, welchen soll ich machen lassen?

Die altbekannte Masche der Branche: Schreibt man es auf Türkisch, kostet es 35.000 Lira, nimmt man den schicken englischen Begriff, sind es 65.000 Lira. Hätten sie noch „Ethical Hacking“ dazugeschrieben, wären glatt die 100.000 voll gewesen. Um den Laden würde ich an Ihrer Stelle einen ganz großen Bogen machen.

Der eigentliche Unterschied in der Praxis liegt zwischen automatisiertem Tool-Scan und manueller Exploitation. Beim Scan klopfen Tools nur Ports ab und spucken einen Bericht aus. Beim Penetrationstest reizt ein Ethical Hacker gefundene Schwachstellen gezielt aus. Ihr Kunde wird definitiv einen Pentest-Bericht verlangen, der Verifikation und Privilege Escalation beinhaltet.

Was genau steht denn im Audit-Kriterienkatalog Ihres Kunden? Meistens fordern Großunternehmen Pentests mit TSE-Zertifizierung oder nach einer bestimmten Methodik. Und wie viele externe IPs und interne Server müssen überhaupt getestet werden?

Wir hatten vor Kurzem ein ganz ähnliches Lieferantenaudit. Wir haben einen Pentest für 16 externe IPs und 2 Webportale durchführen lassen. Gekostet hat das 38.000 TL, die Analyse dauerte 4 Werktage und am Ende gab es einen 32-seitigen technischen Prüfbericht mit Nachweisen. Der OEM hat den Bericht anstandslos akzeptiert.

Stellen Sie den nächsten Firmen genau diese drei Fragen: 1) Beinhaltet der Test eine manuelle Verifikation? 2) Wie groß ist der genaue Scope an Systemen? 3) Gibt es nach Behebung der Lücken einen kostenlosen Nachtest (Re-Test)? Arbeiten Sie nur mit Anbietern weiter, die darauf klare Antworten liefern.

das ist exakt das gleiche kollege. die haben das nur doppelt aufgeführt weil der englische begriff professioneller klingt, zahlt bloß nicht die hohe summe dann holt euch noch zwei angebote von woanders dann seht ihr sofort was sache ist.

Achten Sie beim Bericht unbedingt hierauf: Nach Testende bekommen Sie üblicherweise 15–30 Tage Zeit, die Schwachstellen zu fixen. Danach muss die Sicherheitsfirma noch mal drüberschauen und einen Abschlussbericht ausstellen, der bestätigt, dass die Lücken behoben wurden. Klären Sie vorab, ob dieser Nachtest im Preis enthalten ist.

besteht bei so einem Test eigentlich das Risiko, dass unsere Systeme abschmieren oder die Produktion lahmgelegt wird? wenn sich unser Buchhaltungsserver aufhängt steht bei uns nämlich die komplette Rechnungsstellung still.

Wenn ich dich richtig verstehe meinst du Folgendes: Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus. Das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.

Vielen Dank, das hat mir sehr geholfen. Kein Prozess ohne Dokumentation verbessert sich weil man nicht weiß was man verbessern soll.

Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher. Das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.

Gut, dass du diesen Thread eröffnet hast.

Ich stimme zu. halt maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Nur als Notiz könnte nützlich sein.

Da stimme ich zu... Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß was man verbessern soll.

Je schwerer es ist eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen. Schreibt mir wenn ihr Fragen habt ich antworte so gut ich kann.

Ich habe mich lange damit beschäftigt. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Dieses Thema ist archiviert. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich werde das Gegenteil vertreten, bitte nicht böse sein. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Wenn es jemand anders macht, würde mich das auch interessieren.

Bei Penetrationstest ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Nur als Notiz, könnte nützlich sein.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Wenn du zu einem Thema drei verschiedene Antworten bekommst war die Frage falsch gestellt.