Zeige mehr…

Live-Session - Penetrationstests in der IT-Sicherheit - Notwendigkeit und Ablauf

Die Live-Session fand am 5. Juli 2012 um 10:00 Uhr wie immer auf unserer Live-Session-Portalseite statt.

Die Online-Kriminalität nimmt rasant zu und kriminelle Hacker stellen jedes Jahr neue Rekorde auf. Doch nicht nur die schiere Menge ist besorgniserregend, sondern insbesondere auch die Qualität der Angriffe auf IT-Systeme: Sie sind deutlich zielgerichteter und komplexer geworden. Um die eigenen Daten erfolgreich zu schützen, sind regelmäßige IT-Sicherheitsüberprüfungen unverzichtbar.

In dieser Live-Session diskutieren ein Security-Experte von //SEIBERT/MEDIA/SYSTEMS und Martin Seibert, warum Penetrationstests an (Web-)Anwendungen empfehlenswert und notwendig sind, welche Ziele sie haben und wie sie ablaufen.

Aufzeichnung der Sendung

Dieses Video downloaden (MP4, 156 MB)

Notwendigkeit

IT-Sicherheit als kontinuierlicher Prozess

Kryptographie-Experte Bruce Schneier:

Security is a process, not a product.

Rechtsvorschriften

Ablauf

Öffentlich zugängliche Informationen sammeln

Footprinting

Footprinting: Informationsbeschaffung, die einem (professionellen) Angriff stets vorausgeht. Es erfolgt noch kein direkter Zugriff auf die Systeme und Anwendungen – stattdessen werden öffentlich zugängliche Daten gesammelt.

Typische Informationsquellen:

Auswertung

Konzentration auf den bzw. die DNS-Server, die für das System bzw. die Website zuständig sind:

Weitere typische Risiken sind Subdomains und “Vertipper-Domains”:

Überprüfung des Serversystems mit den darauf laufenden Anwendungen

Portscan

Dieser Scan kann Hinweise u.a. auf die folgenden Fragen geben, die für einen Angreifer sehr wertvoll für die gezielte Vorbereitung von Angriffen sein können:

Kritische Dateien und Verzeichnisse finden

Überprüfung des Webservers auf Konfigurationsfehler und Sicherheitslücken

Lücken in Web-Anwendungen finden

Fehler in Web-Applikationen aufdecken

Analyse der Anwendungen, die auf dem Server laufen: CMS, Administrationsoberflächen, Seite mit Suchfunktion und Datenbankanbindung etc.

Fehler in der Authentifizierung und im Session-Management

Analyse u.a. der folgenden Fragen:

Injection-Schwachstellen finden

Zeige mehr…
Zeige mehr…