Die externe Angriffsfläche prüfen
Was aus dem Internet erreichbar ist, Dienst für Dienst aufgenommen und einzeln geprüft. Mit Bewertung, Reproduktionsschritten und Nachtest.
Was aus dem Internet erreichbar ist
Was ein Unternehmen aus dem Internet erreichbar macht, wächst mit jedem Projekt: ein Portal, ein VPN-Zugang, ein Testsystem für einen Dienstleister, eine Kamera an einem Standort. Was einmal freigegeben wurde, bleibt meistens freigegeben.
Ein Test der externen Infrastruktur nimmt auf, welche Dienste heute tatsächlich antworten. Geprüft wird dann jeder einzeln: Zustand, Version, Konfiguration, Anmeldung. Am Ende steht eine Liste, die zwischen erwartetem Dienst und offener Tür trennt.
Was von außen geprüft wird
Die Gliederung folgt dem, was aus dem Internet überhaupt erreichbar ist. Der Schwerpunkt verschiebt sich mit dem, was Sie betreiben.
Erreichbare Dienste
Jeder Port, der antwortet, mit Produkt, Version und Konfiguration. Bekannte Lücken werden bestätigt, nicht aus einer Versionsnummer abgeleitet.
Portale und Anmeldungen
Was hinter einer Anmeldemaske liegt, wie sie auf falsche Versuche reagiert, ob ein zweiter Faktor greift und ob sich Konten durchprobieren lassen.
Fernzugänge
VPN-Gateways, RDP, Verwaltungsoberflächen von Firewalls und Servern. Der Weg, über den Ransomware regelmäßig ins Haus kommt, und der erste, den wir prüfen.
E-Mail und DNS
SPF, DKIM und DMARC, offene Resolver, Zonentransfer, verwaiste Einträge. Ohne durchgesetztes DMARC kann jeder in Ihrem Namen schreiben und das ist von außen in einer Minute festgestellt.
Zertifikate und Verschlüsselung
Laufzeiten, Aussteller, eingesetzte Verfahren und was in den Zertifikatsprotokollen über Ihre Umgebungen steht.
Das Testsystem, das niemand abgeschaltet hat
Ein Dienst auf Port 8080, der in keiner Dokumentation steht. Dahinter eine Testumgebung, die vor zwei Jahren für einen Dienstleister aufgesetzt und nach dem Projekt nie abgeschaltet wurde. Sie fragt kein Kennwort ab, weil sie es zum Testen nicht sollte.
Die Daten darin sind eine Kopie der Produktion, gezogen im Frühjahr davor. Damit ist der Fund keine Testumgebung mehr, sondern ein Datenabfluss, der nur noch niemandem aufgefallen ist. Die Bewertung richtet sich danach, was erreichbar ist, nicht danach, wie das System heißt.
Gefunden wird so etwas über den Port, bewertet über das, was dahinter liegt. Ein Schwachstellenscanner meldet an dieser Stelle einen Webdienst ohne bekannte Lücke, also nichts.
Was Sie selbst schon verraten
Bevor irgendetwas angefasst wird, wird zusammengetragen, was ohnehin öffentlich ist. Das heißt OSINT, Open Source Intelligence und es ist bei einem externen Test der erste Arbeitsschritt: Domänen und Subdomänen, Zertifikatsprotokolle, IP-Bereiche und wem sie gehören, Namen und Adressen aus Impressum und Netzwerken, Stellenanzeigen mit der eingesetzten Technik, Dateien mit Metadaten, Zugangsdaten aus vergangenen Datenabflüssen.
Der Grund ist nüchtern: ein Angreifer fängt genauso an. Was sich in dieser Phase finden lässt, bestimmt, wo er ansetzt, und deshalb bestimmt es auch, wo wir ansetzen. Regelmäßig entsteht hier schon der erste Befund, ein vergessener Testserver auf einer Subdomäne, ein Zugang aus einem fremden Datenabfluss, der noch gültig ist.
Die Recherche läuft passiv: wir lesen, was öffentlich vorliegt, und berühren Ihre Systeme dabei nicht. Was dabei zusammenkommt, steht im Bericht, auch wenn es keine Schwachstelle im engeren Sinn ist, weil es sich meistens abstellen lässt.
Einzeln beauftragbar ist dieser Schritt als OSINT-Analyse, wenn Sie zuerst wissen wollen, wie groß die Fläche ist, bevor daran geprüft wird.
Eine Versionsnummer ist noch kein Befund
Ein Schwachstellenscanner liest aus, was ein Dienst über sich sagt, und gleicht es gegen eine Datenbank ab. Das Ergebnis ist eine Liste von Vermutungen: dieser Dienst nennt eine Version, für die es einen Eintrag gibt. Ob die Lücke in Ihrer Installation wirklich offensteht, sagt die Liste nicht.
Wir setzen solche Läufe ein, um die Fläche aufzunehmen. Danach wird jeder Punkt von Hand nachgestellt und im Bericht steht nur, was bestätigt ist. Der Unterschied ist praktisch: eine Scannerliste mit dreißig Einträgen bindet Ihr Team wochenlang, ein Bericht mit vier bestätigten Befunden und einer Reihenfolge nicht.
Der Teil, den kein Werkzeug leistet, ist die Verbindung. Ein Testsystem auf einem ungewöhnlichen Port, ein Zugang aus einem alten Datenabfluss und eine Anmeldung ohne zweiten Faktor stehen einzeln weit unten in jeder Liste. Zusammen sind sie der Weg hinein.
Wie ein externer Test abläuft
Drei bis fünf Tage, je nach Zahl der erreichbaren Dienste. Geprüft wird nach dem BSI-Praxis-Leitfaden für IS-Penetrationstests, PTES und OSSTMM; jeder Bericht durchläuft eine Zwei-Augen-Qualitätssicherung.
Umfang festlegen
Welche Netzbereiche und Domänen gehören dazu. Auch die, die ein Dienstleister betreibt, denn aus dem Internet ist das keine Unterscheidung.
Aufnahme
Erreichbare Dienste, Versionen, Zertifikate, Weiterleitungen. Dazu die Namen und Adressen, die öffentlich zu Ihnen führen.
Prüfung
Manuell, Dienst für Dienst. Bekannte Schwachstellen werden bestätigt, nicht nur aus einer Versionsnummer abgeleitet.
Bericht und Nachtest
Befunde mit Reproduktionsschritten, danach auf Wunsch die Gegenprobe, ob die Behebung greift.
Ein Bericht, mit dem Ihr Team weiterarbeiten kann.
Jeder Befund kommt eingeordnet: mit Risiko, Aufwand und dem Weg zur Behebung.
Management Summary
Die Lage auf einer Seite, verständlich für Geschäftsführung und Aufsicht.
Technische Findings
Jeder Befund mit eindeutiger Befund-ID, Nachweis und Reproduktionsschritten.
Risikobewertung nach BSI
Eine nachvollziehbare Einstufung jedes Funds nach anerkanntem Schema.
Priorisierte Empfehlungen
Konkrete Handlungsempfehlungen in der Reihenfolge, in der sie wirken.
Abschlussgespräch
Auf Wunsch eine gemeinsame Durchsprache der Ergebnisse mit Ihren Fachteams.
Retest
Auf Wunsch die erneute Prüfung der behobenen Schwachstellen, mit Bestätigung des Stands.
Was wir brauchen und was nicht dazugehört
Von Ihnen brauchen wir die Netzbereiche und Domänen, die zu Ihnen gehören, einen Ansprechpartner für die Dauer des Tests und eine schriftliche Freigabe. Liegt ein Dienst bei einem Anbieter, holen wir dessen Erlaubnis gemeinsam mit Ihnen ein, bevor wir ihn anfassen.
Nicht enthalten sind Angriffe auf Menschen und Verfügbarkeit. Social Engineering und Phishing-Simulationen sind eigene Leistungen, Denial-of-Service-Tests führen wir nicht durch. Was hinter der Anmeldung liegt, prüft der interne Test; Webportale und Schnittstellen haben mit Webanwendungen und APIs eigene Seiten, weil dort nach OWASP ASVS geprüft wird.
Häufige Fragen zum externen Test
Die Aufnahme läuft ohne Last. Prüfungen, die einen Dienst belasten könnten, stimmen wir vorher ab und führen sie in einem vereinbarten Fenster durch.
Einmal jährlich als Grundlage, dazu nach jeder größeren Änderung an den erreichbaren Diensten. Zwischen den Tests hilft eine laufende Überwachung der Angriffsfläche mehr als ein zweiter Test.
Was oft dazugehört
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein erstes Gespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.