Penetration Testing und Vulnerability Management

Penetration Testing und Vulnerability Management sind beides Technologien, die dazu eingesetzt werden um Schwachstellen im System und in Abläufen zu erkennen und beseitigen zu können. Oft geht beides Hand in Hand, wobei es sich bei Vulnerability Management um einen kontinuierlichen Prozess handelt und Penetrationstests meist nur zu bestimmten Zeitpunkten durchgeführt werden.

1. Viele Cyber-Angriffe verlaufen oft nach dem gleichen Schema. Daher gibt es auch Versuche, dieses Schema zu beschreiben. Informiere dich über die Cyber Kill Chain und den meist damit verbundenen Begriff des Advanced Persistent Threat (APT).
   1. Grafik von Lockheed Martin
   2. Artikel bei security-insider.de
   3. Versuche selbst ein Beispiel eines Cyber-Angriffes zu konstruieren und finde dabei Beispiele für jeden Schritt der Cyber Kill Chain.
   4. Versuche für jede Phase der Cyber Kill Chain ein Beispiel zu finden, wie eine Sicherheitsmaßnahme die Kette an der jeweiligen Stelle unterbrechen kann.
2. Informiere dich über die verschiedenen Arten von Penetrationstests.
   1. die klassische Unterscheidung in Black Box- und White Box-Test Artikel zu Penetrationstests
   2. die Kombination aus den beiden vorigen: Grey Box-Test
3. Für einen Penetrationstest muss immer auch das zu betrachtende Ziel festgelegt werden, der sogenannte Scope. Dieser definiert sich unter anderem über die Kriterien Schutzbedarf, Szenarien und Prüftiefe, sowie die verfügbaren Ressourcen. Dieser Artikel gewährt einen Einblick in die Gestaltung des Scopes für einen Penetrationstest.

Die Basis-Bausteine für Vulnerability Management sind ein Vulnerability Scan (Schwachstellenscan) und Vulnerability Assessment. Informiere dich zuerst, was ein Vulnerability Scanning und Vulnerability Assessment sind, um Vulnerability Management verstehen zu können.

1. Vulnerability Scan Wikipedia-Artikel
2. Vulnerability Assessment Artikel zu Vulnerability Assessment, intruder.io
3. Vulnerability Management Artikel von Rapid7

• Wikipedia: Cyber Kill Chain
• Handbuch: Open Source Security Testing Methodology Manual v3 isecom.org
• Artikel: Advanced Persistent Threat (APT), security-insider.de
• Produkt: der freie Schwachstellen-Scanner OpenVAS beim BSI
• Produkt: das Schwachstellenmanagementsystem InsightVM von Rapid7
• Produkt: das Penetration Testing Framework Metasploit von Rapid7