Penetration-Tests in der Cloud
Mit dem vermehrten Einsatz von Cloud-Services steigt das Risiko eines Angriffs. Penetration-Tests spüren Einfallstore auf, müssen aber Provider-Regeln beachten.
- Michael Erwin Petry
Um im Ernstfall gewappnet zu sein, müssen Unternehmen ihre IT-Sicherheitsprozesse aktuell halten und kontinuierlich überprüfen. Kriminelle entwickeln immer raffiniertere Attacken mit unterschiedlichen Angriffsvektoren, sogenannten Cyber Kill Chains. Wollen Unternehmen unter realistischen Bedingungen kontrollieren, wie gut ihre IT-Sicherheitsmaßnahmen greifen, eignen sich Penetration-Tests von externen Dienstleistern. Sie beugen einer potenziellen Betriebsblindheit der eigenen Mannschaft vor. Denn Penetration-Tester (kurz: Pentester) nehmen eine Angreiferperspektive ein – das gewährleistet aussagekräftige Ergebnisse. Auch wenn heutige IT-Landschaften äußerst komplex sind und es keinen hundertprozentigen Schutz gibt, tragen Penetration-Tests dazu bei Sicherheitslücken aufzuspüren.
Die Zahl potenzieller Schwachstellen hat durch die steigende Vernetzung in den letzten Jahren rapide zugenommen. Hier spielt vor allem der flächendeckende Einsatz von Cloud-Services eine bedeutende Rolle. Zwei von drei Unternehmen in Deutschland nutzen laut Cloud-Monitor 2018 des Branchenverbands Bitkom Cloud-Anwendungen. Der verbreitete Cloud-Einsatz schlägt sich in wachsenden Angriffszahlen nieder. In der aktuellen Studie "Navigating a Cloudy Sky" des Securityanalysten McAfee gab ein Viertel der Befragten an, schon einmal von Datendiebstahl in der Cloud betroffen gewesen zu sein. Deswegen dürfen Cloud-Services bei Penetration-Tests nicht außen vor bleiben. Eine Best Practice orientiert sich an fünf Phasen.
Erste Phase – Zieldefinition und rechtlicher Rahmen: Jeder Penetration-Test erfordert initial eine klare Zieldefinition und vertragliche Fixierung des Testablaufs. Denn die Tester nutzen die gleichen Tools und Methoden wie echte Angreifer, um in die Systeme eines Unternehmens einzudringen. Solche Handlungen sind gemäß Paragraf 202c des Strafgesetzbuchs illegal. Lediglich der Vertrag mit dem beauftragenden Unternehmen und das damit erfolgte ausdrückliche Einverständnis unterscheidet Pentester von Kriminellen und garantiert ihnen Straffreiheit. Eine Orientierungshilfe für wichtige Rahmenbedingungen zu Penetration-Tests bietet der IT-Grundschutz-Katalog des BSI unter Punkt M5.150.
Das war die Leseprobe unseres heise-Plus-Artikels "Penetration-Tests in der Cloud ". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.Immer mehr Wissen. Das digitale Abo für IT und Technik.
Datensicherheit für Solaranlagen: Dem Inverter auf den Zahn gefühlt
Mit der Apple Watch im Schlaflabor: So gut zeichnet sie Schlaf auf
Prompt-Engineering erklärt: Von der Kunst, die KI zu nutzen
Gefährdete Router: Verkehr mit dubiosen Internetdomains verhindern
Das deutsche Gasnetz: Was daraus werden soll und was Verbraucher wissen müssen
Apple iPad Air 2024 mit 13"-Display im Test: Das bezahlbare Pro
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Datensicherheit für Solaranlagen: Dem Inverter auf den Zahn gefühlt
Mit der Apple Watch im Schlaflabor: So gut zeichnet sie Schlaf auf
Prompt-Engineering erklärt: Von der Kunst, die KI zu nutzen
Gefährdete Router: Verkehr mit dubiosen Internetdomains verhindern
Das deutsche Gasnetz: Was daraus werden soll und was Verbraucher wissen müssen