Ich suche Tools zur Schwachstellenanalyse — was kann ich in einem 8-köpfigen Team selbst nutzen, ohne irgendetwas kaputtzumachen?

Ihr müsst unbedingt zwischen aktivem und passivem Scannen unterscheiden. Wenn ihr Module an Webformulare oder Anmeldeseiten anschließt, die aggressiv fuzzen oder unkontrollierte Anfragen ausschütten, sperrt sich die Datenbank. Bei Portscans auf Netzwerkebene haltet die Anfragenrate pro Sekunde niedrig. Auf der Webseite führt den Scan auf keinen Fall in einer Umgebung durch, die an die Live-Datenbank angebunden ist, sondern in einer Testumgebung, die eine Produktionskopie ist.

Mit einem Scan-Bericht den Sie selbst gezogen haben, kommen Sie bei einem deutschen Großkunden durch kein Audit. Kein Auditor akzeptiert die Aussage „Wir haben intern gescannt, alles sauber“, die verlangen eine unabhängige Unterschrift und eine anerkannte Methodik. Der hundertseitige Report aus so einem Tool besteht ohnehin größtenteils aus irrelevanten Meldungen und um die auszusortieren, braucht man schon Expertenwissen.

Edit: Ich habe oben etwas falsch geschrieben, entschuldigung.

Um den Scan sicher durchzuführen, sollten Sie folgende Schritte beachten: 1) Ziehen Sie ein Backup der Live-Datenbank, spielen Sie es in einer Testumgebung ein und richten Sie den Scan ausschließlich auf diese Testadresse. 2) Drosseln Sie im Scan-Tool die Anfragerate auf maximal 3 bis 5 Requests pro Sekunde. 3) Behalten Sie vor dem Start ein Dashboard im Blick, das die Server-Ressourcen in Echtzeit überwacht.

wir haben das letztes jahr live getestet, übers kontaktformular wurden in zwei stunden achthundert leere tickets erstellt. das benachrichtigungssystem ist komplett dichtgelaufen also formularfelder unbedingt vom scan ausschließen oder halt aufm testserver machen.

Wenn Sie kostenlose Open-Source-Engines einrichten, treffen Sie unbedingt diese drei Vorkehrungen: 1) Wählen Sie ausschließlich den Modus für Informationsbeschaffung und passive Analyse; schalten Sie Exploits oder DoS-Tests ab. 2) Setzen Sie Links zu Formularen, die E-Mails oder SMS auslösen, auf die Blacklist. 3) Starten Sie den Scan außerhalb der Geschäftszeiten mitten in der Nacht.

Wir machen in unserem 8-köpfigen Team wöchentlich automatisierte Dependency-Scans. Als wir das frisch aufgesetzt hatten, kamen direkt 14 kritische Lücken in unseren externen Packages zutage. Die haben wir alle innerhalb von 3 Tagen rein über Versionsupdates behoben und so das Risiko massiv gesenkt, ohne auch nur ein einziges Testpaket an den Server zu schicken.

Wenn man diese Tools auf dem Server installiert und laufen lässt bleibt danach irgendein Agent oder eine Datei zurück, die selbst Sicherheitslücken aufreißt oder ist nach dem Scan wirklich wieder alles wie vorher?

Fasst die Live-Maschine gar nicht erst an. Lasst für eure Codebase einfach ein Open-Source-Tool zur statischen Codeanalyse lokal auf eurem Rechner laufen. Und auf dem Server-Betriebssystem führt ihr nur den Befehl des Paketmanagers aus, der die Sicherheitsupdates auflistet. Damit habt ihr schon die halbe Miete – ganz ohne Risiko.

Du hast recht.

Bei uns war es so. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Notiert, danke.

Ich fasse kurz zusammen, was bisher gesagt wurde. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Ich würde sagen, lass uns nichts überstürzen. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Entschuldigung, aber das gilt nicht in jedem Fall. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Korrigiert mich, falls ich falsch liege.

Entschuldigung, aber das gilt nicht in jedem Fall. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Ich stimme zu.

Da verstehe ich etwas nicht ganz. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht. Viel Erfolg.