Offensive IT-Security

Habe ich eine Schatten-IT in meinem Unternehmen und wie decke ich sie auf? Ein IT-Infrastruktur-Penetrationstest hilft dir, die Schwachstellen in deiner Systemlandschaft zu identifizieren.

Alle modernen IT-Systeme brauchen eine solide Infrastruktur, um miteinander zu sprechen und Daten auszutauschen. Diese Infrastruktur kann aus einfachen Routern und Switches bestehen, aber auch aus komplexeren Teilen wie Firewalls, Loadbalancern und anderen Komponenten. Bei einem Infrastruktur-Penetrationstest nehmen wir deine gesamte Systemlandschaft unter die Lupe, um potenzielle Schwachstellen zu finden. Wir schlüpfen dabei in die Rolle eines Innentäters, der entweder Zugang zu bestimmten Bereichen oder Systemen hat. Oder wir übernehmen die Rolle eines externen Angreifenden, der das System – zum Beispiel durch Phishing – übernommen hat. Wir checken – natürlich nur nach Absprache – alle erreichbaren Systeme im Netzwerk, damit auch Maßnahmen zur Netzwerksegmentierung bewertet werden können. Dabei schauen wir auch, ob DMZ-Bereiche richtig konfiguriert sind und ob es dort Schwachstellen gibt. Den Test führen wir entweder per VPN-Zugriff oder direkt vor Ort durch.

Ein gut durchdachtes Identity- und Access-Management (IAM) ist ebenfalls entscheidend für die Sicherheit deiner Unternehmensdaten und -ressourcen. Wir nutzen das Open-Source-Werkzeug Keycloak, um deine IAM-Herausforderungen nachhaltig zu lösen. Falls du dein existierendes IAM-Konzept testen möchtest, führen wir gerne einen IT-Infrastruktur-Penetrationstes durch.

Was ist eigentlich eine Schatten-IT?

Schatten-IT ist, wenn Mitarbeitende heimlich IT-Systeme, Software und Apps benutzen, ohne dass die IT-Abteilung davon weiß oder es genehmigt hat. Sie machen das oft, um ihre Arbeit schneller und einfacher zu erledigen. Das Problem dabei: Diese inoffiziellen Lösungen können echte Sicherheitsrisiken mit sich bringen, weil sie nicht den offiziellen Sicherheitsstandards des Unternehmens entsprechen.

Wie sicher ist mein Produktionsnetz? Ob dein Produktionsnetz wirklich sicher vor Angriffen ist oder Schwachstellen hat, zeigt dir der OT-Infrastruktur-Penetrationstest. Weil herkömmliche Pentest-Methoden schnell die Verfügbarkeit der Systeme gefährden können, stimmen wir uns in OT-Infrastruktur-Penetrationstest besonders eng ab.

In Produktionsnetzwerken schreitet die Digitalisierung immer weiter voran und ist längst unverzichtbar geworden. Dabei treffen aber immer öfter unterschiedliche Produktionslandschaften auf Schnittstellen zur Office-IT und dem Internet. Hochvulnerable Systeme geraten dadurch ins Visier von professionellen kriminellen Gruppierungen. Mit präventiven Überprüfungen kannst du dir ein genaues Bild vom Sicherheitszustand verschaffen und gemeinsam mit Expert*innen sinnvolle Maßnahmen planen und umsetzen.

Die Überprüfung dieser Infrastrukturen ist besonders herausfordernd, wenn man möglichst verhindern möchte, dass Systeme ausfallen oder beschädigt werden. Deshalb führen wir diese Tests immer in enger Absprache mit den Systemverantwortlichen durch und planen präzise.

Sind meine Webapplikationen wirklich sicher? Mit einem Webapplikations-Penetrationstest entdeckst du schnell mögliche Schwachstellen.

Eine Webseite auf Sicherheitsschwachstellen zu checken, ist komplex. Wir nehmen deine Webseite gründlich unter die Lupe, basierend auf Best Practices wie z. B. den OWASP Top Ten bzw. dem OWASP Web Security Testing Guide plus unserer Erfahrung aus über 100 Penetrationstests. Außerdem schauen wir uns die Businesslogik und komplexe Angriffsszenarien auf technischer und abstrakter Ebene genau an und analysieren sie gründlich. Wie lange ein Penetrationstest dauert, hängt ganz davon ab, wie komplex die Webapplikation ist. Für jede gefundene Schwachstelle geben wir dir klare Empfehlungen, wie du sie beheben kannst.

Und wie lange dauert so ein Webapplikations-Penetrationstest? Die Dauer eines Webpentests hängt stark von der Komplexität der Anwendung ab. Während wir statische Webseiten oft schon in drei Tagen testen können, benötigen wir für Webseiten mit Interaktionsmöglichkeiten und verschiedenen Rollen (Benutzende, Administrator*innen, u.a.) in der Regel sieben Tage. Wenn die Anwendungen und Features bzw. Berechtigungskonzepte noch komplexer sind, brauchen wir natürlich etwas mehr Zeit.

Welche sensiblen Informationen sind über mich und mein Unternehmen im Internet zu finden? Mithilfe von Open Source Intelligence (OSINT) kannst du es herausfinden.

Vereinfacht ausgedrückt steht hinter Open Source Intelligence (OSINT) der Prozess des Sammelns von Informationen über ein bestimmtes Unternehmen. Dabei werden aus verschiedensten Quellen frei verfügbare Informationen gesammelt und zusammengetragen.

Jeder erfolgreiche Angriff auf IT-Strukturen, egal ob von Penetrationstester*innen oder böswilligen Akteur*innen, basiert auf einer intensiven Beschäftigung mit öffentlich verfügbaren Daten. Diese Daten sind die Basis, um mögliche Angriffsszenarien vorzubereiten, beispielsweise sogenannte Phishing-Angriffe.

Beim OSINT-Assessment führen wir für dich eine intensive Recherche in offenen Datenquellen durch. Unser Ziel ist es, möglichst viele Informationen zu sammeln, um ein detailliertes Bild über dein Unternehmen zu erhalten. Dabei beschaffen wir alle möglichen Daten – von der Struktur des Unternehmens über die Standorte, angewendete Technologien bis hin zu eventuell geleakten Passwörtern. Wir tauchen dafür tief in das Internet und auch in das Darknet ein, um sensible Informationen aufzuspüren, die wichtig für die Sicherheit des Unternehmens sein könnten. Wir identifizieren, wo dein Unternehmen am anfälligsten für Angriffe sein könnte. Basierend darauf empfehlen wir passende Maßnahmen wie beispielsweise Weiterbildungen oder Phishing-Kampagnen, um dein Unternehmen gegen Angriffe zu stärken. Bei OSINT führen wir keine aktiven Angriffe auf die Infrastruktur oder die Mitarbeitenden durch – es geht nur darum, Informationen zu sammeln, ohne dass jemand davon etwas mitbekommt.

Wie schütze ich mich und mein Unternehmen vor Phishing-Angriffen? Mit simulierten Angriffen kannst du bewerten, wie hoch das Bewusstsein für Angriffe in deinem Unternehmen ist und wie dein Team im Fall der Fälle reagieren würde.

Phishing und Spearphishing sind sozusagen die „Bad Boys” im IT-Sicherheitsuniversum. Diese hinterhältigen Angreifenden versuchen, durch Manipulation und Täuschung Zugriff auf vertrauliche Informationen oder Systeme zu erlangen. Und wie machen sie das? Meistens über E-Mail-Nachrichten oder andere Kommunikationsmittel, die so tun, als kämen sie von einer vertrauenswürdigen Quelle.

Um dich vor Phishing-Angriffen zu schützen, brauchst du sowohl gute technische Hilfsmittel wie Spamfilter als auch ein starkes Sicherheitsbewusstsein der Mitarbeitenden im Umgang mit Betrugsmails. Und hier kommen wir ins Spiel: Wir simulieren Angriffe, um den Umfang und die Effektivität von potenziellen Phishing- und Spearphishing-Angriffen zu bewerten. Dabei checken wir das Bewusstsein und die Reaktion deiner Kolleg*innen auf solche Attacken. Was wir dabei erfahren haben, werten wir anonymisiert aus und entwickeln gemeinsam mit dir Strategien, um die Widerstandsfähigkeit deines Unternehmens zu verbessern.

Phishing versus Spearphishing

Spearphishing ist eine gezielte Art von Phishing, die sich speziell gegen eine bestimmte Person oder Organisation richtet. Angreifende nutzen oft öffentlich zugängliche Informationen, um die Opfer besser täuschen zu können.

Wie kann ich mich vor physischen Angriffen schützen? „Ich habe schon einige IT-Security-Maßnahmen umgesetzt. Wie sicher bin ich denn nun vor realen, zielgerichteten Angreifenden?”

Wir sollen bei euch einbrechen?! Kein Problem! Bei einem „Red Team"-Einsatz schlüpfen wir in die Rolle der Angreifenden. Aber warum?

Heutzutage beschränken sich Angreifende längst nicht mehr nur auf entfernte Attacken. Es gibt viele Szenarien, bei denen sie in direkter (physischer) Nähe zum Ziel sein müssen, etwa weil das Ziel von außen nicht angreifbar ist. Durch die Einbeziehung nur weniger Personen in deinem Unternehmen schaffen wir ein möglichst realitätsnahes Angriffsszenario.

Zu Beginn solcher Einsätze definieren wir gemeinsam klare Ziele. Diese Überprüfungen sind oft sehr umfassend und wenig eingeschränkt. Mit einem „in-depth"-Ansatz erreichen wir die Zielsetzung, die von einem physischen Einbruch in den Serverraum über Social Engineering bis hin zur gezielten Kompromittierung eines bestimmten Geräts oder Postfachs reichen kann. Und das sind nur einige mögliche Beispiele.