Phasen von Penetrationstests: Von der Aufklärung bis zum Bericht

Ein strukturierter Penetrationstest folgt einem festgelegten Lebenszyklus, der eine gründliche Abdeckung sicherstellt, Risiken für Produktionssysteme minimiert und umsetzbare Ergebnisse liefert. Das am weitesten verbreitete Framework stammt aus dem PTES (Penetration Testing Execution Standard) und ist auf den NIST-Ansatz abgestimmt. Die Phasen sind: Planung und Festlegung des Umfangs, Aufklärung, Scanning, Exploitation, Post-Exploitation und Berichterstellung. Jede Phase baut auf der vorherigen auf — Sie können nichts ausnutzen, was Sie nicht entdeckt haben, und nichts berichten, was Sie nicht dokumentiert haben. Das Überspringen oder überhastete Durchlaufen von Phasen führt zu unvollständigen Bewertungen und unzuverlässigen Ergebnissen.

Die Planungsphase schafft die rechtliche und operative Grundlage für den Auftrag. Zu den wichtigsten Ergebnissen gehören: ein unterzeichnetes Statement of Work (SOW), das Ziele und Preise festlegt; ein Dokument zu den Rules of Engagement (RoE), in dem autorisierte Ziele, Zeitfenster, verbotene Techniken, Notfallkontakte und Anforderungen an den Umgang mit Daten angegeben sind; sowie eine klare Definition der Erfolgskriterien (woran das Erreichen des Ziels festgemacht wird). Der Umfang muss präzise definiert werden, um Scope Creep (das versehentliche Testen nicht autorisierter Systeme) zu verhindern und sicherzustellen, dass die Bewertung die kritischsten Assets abdeckt. Alle Kommunikationskanäle und Eskalationsverfahren werden festgelegt, bevor technische Arbeiten beginnen.

Passive Aufklärung sammelt Informationen über das Ziel, ohne direkt mit dessen Systemen zu interagieren — mithilfe öffentlicher Quellen, die auf dem Ziel keine Protokolleinträge erzeugen. Zu den Quellen gehören: WHOIS-Einträge (Domainregistrierung, Kontaktdaten des Registranten), DNS-Einträge, Certificate-Transparency-Protokolle (die Subdomains offenlegen), LinkedIn (Namen von Mitarbeitenden, Berufsbezeichnungen, verwendete Technologien), Stellenausschreibungen (die den Technologie-Stack und verwendete Werkzeuge offenlegen), Shodan/Censys (aus dem Internet erreichbare Dienste und offene Ports), GitHub-Repositories (Quellcode, versehentlich committete Zugangsdaten) und Google Dorking (sitespezifische Suchen nach vertraulichen Dateien und exponierten Schnittstellen).

Aktive Aufklärung umfasst die direkte Interaktion mit Zielsystemen, um Informationen zu sammeln. Dabei werden auf dem Ziel Protokolleinträge erzeugt, und sie ist grundsätzlich auffälliger als passive Aufklärung. Zu den Techniken gehören Portscans (Nmap), Dienstaufzählung, Versuche von DNS-Zonentransfers und Banner-Grabbing. Die Grenze zwischen Aufklärung und Scanning ist fließend — das Ziel der Aufklärung ist das Sammeln von Informationen, während Scanning typischerweise die Identifizierung von Schwachstellen impliziert. Aktive Aufklärung kann jedoch IDS-/IPS-Warnungen auslösen und von einem sicherheitsbewussten Ziel erkannt werden. Daher wägen Tester je nach Ziel des Auftrags Gründlichkeit und Unauffälligkeit gegeneinander ab (Erkennung testen oder unauffällig kompromittieren).

Die Scanning-Phase ermittelt systematisch offene Ports, Dienste, Softwareversionen und bekannte Schwachstellen auf den im Umfang enthaltenen Zielen. In dieser Phase werden Werkzeuge wie Nmap zur Dienstaufzählung und Nessus/OpenVAS für Schwachstellenscans eingesetzt. Der Penetrationstester prüft die Scan-Ausgabe manuell und setzt die Ergebnisse in Beziehung zueinander: Eine von Nmap erkannte Apache-Version kann bekannten Exploits in der CVE-Datenbank entsprechen. Diese Phase umfasst außerdem die manuelle Untersuchung von Webanwendungen (mit Burp Suite) sowie das Testen von Authentifizierungsmechanismen. Das Ergebnis ist eine priorisierte Liste potenzieller Angriffswege, die in der Exploitation-Phase verfolgt werden können.

In der Exploitation-Phase wird versucht, erkannte Schwachstellen auszunutzen, um unbefugten Zugriff, eine Rechteausweitung oder andere festgelegte Ziele zu erreichen. Die Ausnutzung muss strikt innerhalb des festgelegten Umfangs und der Rules of Engagement bleiben. Zu den Techniken gehören das Ausnutzen ungepatchter Schwachstellen (mit Metasploit oder manuellen Exploits), Angriffe auf Zugangsdaten (Password Spraying, Standardzugangsdaten, Brute-Force), Angriffe auf Webanwendungen (SQL-Injection, Ausnutzung von XSS) sowie Social Engineering, sofern dies autorisiert ist. Jede Aktion muss mit Zeitstempeln dokumentiert werden: Was wurde getan, wann geschah es, welches Ergebnis wurde erzielt und welches Werkzeug wurde verwendet? Diese Dokumentation bildet die Beweisgrundlage für den Abschlussbericht.

Post-Exploitation beginnt, nachdem der erste Zugriff erlangt wurde, und untersucht, wie weit ein Angreifer seinen Zugriff ausweiten könnte. Zu den Aktivitäten gehören: Rechteausweitung (Erlangen von Administrator- oder Root-Rechten ausgehend von einem eingeschränkten Benutzerzugriff), Erfassung von Zugangsdaten (Extrahieren von Hashes, Tickets oder Klartextpasswörtern), laterale Bewegung (Zugriff auf andere Systeme mithilfe erfasster Zugangsdaten), Datenermittlung (Identifizieren vertraulicher Daten, die aus der kompromittierten Position zugänglich sind) sowie das Einrichten von Persistenz (zur Simulation eines langfristigen APT-Zugriffs). Ziel ist es, die realistischen Auswirkungen der ursprünglichen Kompromittierung zu zeigen — nicht nur, dass ein einzelnes System kompromittiert wurde, sondern auch, welche Bereiche der Angreifer letztlich erreichen könnte.

Pivoting verwendet einen kompromittierten Host als Relais, um Netzwerksegmente zu erreichen, die für den Penetrationstester ansonsten nicht zugänglich wären (z. B. ein internes Datenbank-VLAN, das nur vom Anwendungsserver aus erreichbar ist). Der Befehl route add von Metasploit und SSH-Tunneling (ssh -L für lokale Weiterleitung oder ssh -D für einen SOCKS-Proxy) sind gängige Pivoting-Mechanismen. Pivoting zeigt, ob die Netzwerksegmentierung tatsächlich wirksam ist — ein gut segmentiertes Netzwerk sollte verhindern, dass ein kompromittierter DMZ-Server interne Datenbanken erreicht, während ein flaches Netzwerk laterale Bewegungen ohne Einschränkungen ermöglicht. Dokumentierte Pivoting-Pfade im Bericht zeigen genau, wo Lücken in der Segmentierung bestehen.

Nach Abschluss der Tests müssen Penetrationstester eine Bereinigung durchführen — sie entfernen von ihnen installierte Hintertüren, Konten und Werkzeuge. Im Gegensatz zu echten Angreifern sind Penetrationstester aufgrund der Rules of Engagement verpflichtet, Systeme in ihren Zustand vor dem Test zurückzuversetzen. Zur Bereinigung gehören: das Entfernen erstellter Benutzerkonten, das Löschen abgelegter Dateien (Payloads, Werkzeuge), das Entfernen von Persistenzmechanismen (WMI-Abonnements, geplante Tasks, Registry-Run-Keys) sowie die Bestätigung gegenüber dem Kunden, dass alle Testartefakte entfernt wurden. Die Beweissicherung erfolgt parallel: Bewahren Sie alle Screenshots, Werkzeugausgaben, Protokolle und Notizen in einem sicheren Format für die Berichtserstellung und mögliche rechtliche Verweise auf.

Der Bericht ist das wichtigste Ergebnis des Auftrags: Er rechtfertigt die Durchführung und bildet die Grundlage für die Behebung von Problemen. Ein gut strukturierter Bericht umfasst: eine Zusammenfassung für die Führungsebene (Risikoeinstufung, geschäftliche Auswirkungen, die drei wichtigsten Ergebnisse für die Leitung); einen Abschnitt mit technischen Ergebnissen (jedes Ergebnis mit Schweregrad, Beschreibung, Belegen, Reproduktionsschritten, geschäftlichen Auswirkungen und konkreten Empfehlungen zur Behebung); sowie einen Anhang mit rohen Werkzeugausgaben und detaillierten Zeitabläufen. Berichte werden als vertraulich eingestuft — sie enthalten genügend Details, um den Angriff zu wiederholen. Die Übergabe umfasst typischerweise ein Nachbesprechungstreffen, bei dem das Penetrationstestteam die Ergebnisse erläutert und Fragen des Kunden beantwortet. Eine gute Berichterstellung unterscheidet professionelle Aufträge von unausgereiften Scan-Dump-Berichten.

In Security+ wird häufig der Unterschied zwischen passiver und aktiver Aufklärung geprüft. Passive Aufklärung umfasst das Sammeln von Informationen aus öffentlichen Quellen, ohne direkt mit den Zielsystemen Kontakt aufzunehmen — auf dem Ziel werden keine Protokolleinträge erzeugt. Beispiele sind das Lesen von WHOIS-Einträgen, die Auswertung von LinkedIn, das Abfragen von Certificate-Transparency-Protokollen und Shodan-Suchen. Aktive Aufklärung umfasst die direkte Interaktion mit Zielsystemen — etwa Portscans, Banner-Grabbing und Versuche von DNS-Zonentransfers. Aktive Aufklärung erzeugt Protokolleinträge und kann IDS-Warnungen auslösen. In einem realen Auftrag geht passive Aufklärung der aktiven voraus, um zunächst eine Übersicht zu erstellen, bevor ein erkennbarer Kontakt mit dem Zielnetzwerk hergestellt wird.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Penetrationstests folgen einem strukturierten Lebenszyklus aus Planung, Aufklärung, Scanning, Exploitation, Post-Exploitation und Berichterstellung; passive Aufklärung nutzt öffentliche OSINT-Quellen, ohne Protokolleinträge auf dem Ziel zu erzeugen, während aktive Aufklärung direkt mit Systemen interagiert; und der Abschlussbericht mit seiner Zusammenfassung für die Führungsebene, den technischen Ergebnissen und konkreten Empfehlungen zur Behebung ist das wichtigste Ergebnis, das Sicherheitsverbesserungen vorantreibt. Als Nächstes untersuchen wir die CVSS-Bewertung und die Priorisierung der Behebung von Schwachstellen.