Schwachstellen-Scanning im Vergleich zu Penetrationstests

Reaktive Sicherheit reagiert auf Angriffe, nachdem sie stattgefunden haben; proaktive Sicherheit findet und behebt Schwachstellen, bevor Angreifer sie ausnutzen können. Zwei sich ergänzende proaktive Maßnahmen sind Vulnerability Scanning und Penetrationstests. Beide identifizieren Sicherheitslücken, unterscheiden sich jedoch erheblich hinsichtlich Umfang, Methodik, erforderlicher Autorisierung, Risikograd und der Ergebnisse, die sie für die Organisation liefern. Das Verständnis dieser Unterschiede ist für Security+-Prüfungskandidaten sowie für die Kommunikation mit Stakeholdern darüber unerlässlich, was die jeweilige Aktivität über Ihre Sicherheitslage aussagen kann – und was nicht.

Vulnerability Scanning ist ein automatisierter Prozess, bei dem Systeme mit einer Datenbank bekannter Schwachstellen abgeglichen werden. Scanner vergleichen Versionsnummern, Konfigurationseinstellungen und Softwaresignaturen mit CVE-Datenbanken und Herstellerhinweisen, um potenzielle Schwachstellen zu identifizieren. Scans sind in der Regel nicht-intrusiv – sie stellen anhand der Version oder Konfiguration fest, dass wahrscheinlich eine Schwachstelle vorhanden ist, versuchen sie jedoch im Allgemeinen nicht auszunutzen. Scans können regelmäßig (täglich, wöchentlich oder kontinuierlich) und in großem Umfang auf Tausenden von Systemen ausgeführt werden. Unter PCI-DSS (vierteljährliche externe Scans durch einen ASV) und vielen anderen Frameworks sind sie vorgeschrieben.

Penetrationstests (Pentests) sind strukturierte, zielgerichtete Versuche, Systeme mit denselben Techniken zu kompromittieren, die auch Angreifer einsetzen würden. Im Gegensatz zu Scans nutzen Pentests Sicherheitslücken aktiv aus, um zu bestätigen, dass sie tatsächlich vorhanden und ausnutzbar sind – und nicht nur theoretisch bestehen. Ein Penetrationstester weist die tatsächlichen Auswirkungen nach: Kann privilegierter Zugriff erlangt werden? Können Daten exfiltriert werden? Ist eine laterale Bewegung von einem System zu einem anderen möglich? Penetrationstests liefern einen Nachweis der Ausnutzbarkeit, der die Dringlichkeit der Behebung erhöht, und decken häufig komplexe, mehrstufige Angriffspfade auf, die automatisierte Scanner nicht erkennen können.

Penetrationstests ohne Autorisierung sind illegal – sie gelten nach Gesetzen wie dem CFAA (Computer Fraud and Abuse Act) in den USA als unbefugter Zugriff. Vor Beginn eines Pentests muss ein Dokument mit den Rules of Engagement (RoE) unterzeichnet werden. Darin werden der Umfang (welche Systeme, IP-Bereiche und Domains), das Zeitfenster (Geschäftszeiten oder außerhalb der Geschäftszeiten), verbotene Aktionen (keine physischen Angriffe, kein DoS gegen Produktionssysteme), Notfallkontakte und Autorisierungsunterschriften festgelegt. Die vom Pentest-Team mitgeführten Get-out-of-jail letters dienen als Nachweis der Autorisierung, falls das Team von Sicherheitspersonal entdeckt wird. Beginnen Sie niemals mit Tests, bevor eine vollständige schriftliche Autorisierung vorliegt.

Penetrationstests werden danach kategorisiert, wie viele Informationen der Tester über das Ziel besitzt. Bei einem Black-Box-Test liegen keine Vorabinformationen vor – der Tester beginnt wie ein externer Angreifer und nutzt OSINT sowie Scans, um Ziele zu entdecken. Dies ist am realistischsten, kann jedoch interne Sicherheitslücken übersehen. Bei einem White-Box-Test liegen vollständige Informationen vor: Netzwerkdiagramme, Quellcode und Zugangsdaten ermöglichen gründliche, aber weniger realistische Tests. Ein Gray-Box-Test stellt teilweise Informationen bereit, etwa ein normales Benutzerkonto, und bildet das Szenario eines kompromittierten Insiders oder gestohlener Zugangsdaten ab. Die meisten Tests in der Praxis sind Gray- oder Black-Box-Tests.

Penetrationstests nehmen unterschiedliche Ausgangspunkte ein. Ein externer Test simuliert einen Angreifer aus dem Internet ohne internen Zugriff. Dabei werden Perimeterabwehr, aus dem Internet erreichbare Anwendungen und E-Mail-Sicherheit geprüft. Ein interner Test simuliert einen Angreifer, der sich bereits im Netzwerk befindet, etwa durch einen kompromittierten Mitarbeiter oder eine Malware, die sich intern weiterbewegt. Dabei werden Kontrollen gegen laterale Bewegungen, die Sicherheit interner Anwendungen und die Härtung von Active Directory geprüft. Die meisten Organisationen profitieren von beiden Perspektiven. Bei vielen realen Sicherheitsverletzungen erlangt ein externer Angreifer zunächst Zugriff und bewegt sich anschließend intern weiter. Dadurch sind beide Testarten zusammen wertvoller als jeweils eine allein.

Schwachstellenscanner sind nicht fehlerfrei. Ein False Positive liegt vor, wenn der Scanner eine Sicherheitslücke meldet, die tatsächlich nicht existiert – etwa weil eine Versionsnummer verwundbar aussieht, der Patch aber zurückportiert wurde. False Positives verschwenden Ressourcen für die Behebung und untergraben das Vertrauen in die Scannerausgabe. Ein False Negative liegt vor, wenn eine tatsächliche Sicherheitslücke existiert, der Scanner sie aber nicht erkennt – beispielsweise weil die Sicherheitslücke eine Authentifizierung erfordert und der Scan nicht authentifiziert durchgeführt wurde oder weil die Sicherheitslücke neu ist und noch nicht in der Datenbank enthalten ist. Im Vergleich zu nicht authentifizierten Scans reduzieren authentifizierte Scans False Positives und False Negatives erheblich.

Moderne Sicherheitsprogramme behandeln das Schwachstellenmanagement als kontinuierlichen Prozess und nicht als regelmäßiges Einzelereignis. Kontinuierliche Scans erkennen neue Sicherheitslücken, sobald sie auftreten und neue CVEs veröffentlicht werden, anstatt auf das nächste geplante Scanfenster zu warten. Der Lebenszyklus des Schwachstellenmanagements umfasst: Erkennen, Priorisieren (anhand des CVSS-Scores und des Geschäftskontexts), Beheben (durch Patchen, Konfigurieren oder Akzeptieren), Verifizieren (erneuter Scan zur Bestätigung der Behebung) und Berichten. Die Integration des Patchmanagements stellt sicher, dass erkannte Sicherheitslücken automatisierte Workflows zur Bereitstellung von Patches auslösen. SLAs legen fest, wie schnell Sicherheitslücken unterschiedlicher Schweregrade behoben werden müssen, etwa Kritisch: 24 Stunden, Hoch: 7 Tage.

Ein Penetrationstest endet mit einem umfassenden Bericht, der das wichtigste Ergebnis darstellt. Der Bericht enthält in der Regel: eine Zusammenfassung für die Führungsebene für nicht technische Entscheidungsträger (allgemeine Risikobewertung, geschäftliche Auswirkungen, wichtigste Erkenntnisse); einen Abschnitt zu den technischen Erkenntnissen (detaillierte Beschreibungen der Sicherheitslücken, Beweisscreenshots und Schritte zur Reproduktion) sowie eine Roadmap zur Behebung mit priorisierten Empfehlungen. Erkenntnisse werden üblicherweise anhand des Risikograds (Kritisch/Hoch/Mittel/Niedrig) unter Verwendung von CVSS-Scores und des Geschäftskontexts bewertet. Ein guter Pentest-Bericht ermöglicht es dem Kunden, jede Erkenntnis zu reproduzieren und zu verifizieren und genau zu verstehen, welche Maßnahmen zur Behebung erforderlich sind.

Bug-Bounty-Programme bezahlen externe Sicherheitsforscher dafür, Sicherheitslücken in den Systemen einer Organisation zu finden und verantwortungsvoll zu melden. Plattformen wie HackerOne, Bugcrowd und Intigriti bringen Organisationen mit Tausenden von Sicherheitsforschern weltweit zusammen. Bug-Bounties ermöglichen kontinuierliche externe Tests in großem Umfang, wobei nur für bestätigte Erkenntnisse bezahlt wird. Sie ergänzen interne Penetrationstests durch die unterschiedlichen Perspektiven der Forscher und fortlaufende Tests zwischen formellen Prüfungen. Für kritische Erkenntnisse werden je nach Schweregrad und Programm typischerweise 500 bis über 50.000 US-Dollar bezahlt. Organisationen legen Umfang und Regeln ähnlich wie in den Rules of Engagement eines Pentests fest.

Für die Security+-Prüfung sollten Sie die wichtigsten Unterschiede sicher beherrschen. Schwachstellenscans: automatisiert, nicht destruktiv, breite Abdeckung, erkennen potenzielle Sicherheitslücken, bestätigen nicht deren Ausnutzbarkeit, häufig/kontinuierlich, durchgeführt von internen Mitarbeitern. Penetrationstests: manuell oder teilautomatisiert, möglicherweise störend, tiefgehende und zielgerichtete Abdeckung, bestätigen die tatsächliche Ausnutzbarkeit und die Auswirkungen in der Praxis, regelmäßig (vierteljährlich, jährlich), erfordern typischerweise spezialisiertes externes Fachwissen und eine formelle Autorisierung. Beide Verfahren ergänzen sich: Scans liefern Breite, Penetrationstests Tiefe. Ein ausgereiftes Sicherheitsprogramm nutzt beide regelmäßig.

Testen Sie Ihr Verständnis der Konzepte aus dieser Lektion zu CompTIA Security+ (SY0-701).

In dieser Lektion haben Sie gelernt: Schwachstellenscans sind automatisiert, häufig und nicht invasiv. Sie identifizieren potenzielle Sicherheitslücken, ohne diese auszunutzen. Penetrationstests sind dagegen manuell, zielgerichtet und nutzen Sicherheitslücken aktiv aus, um tatsächliche Auswirkungen und Angriffspfade nachzuweisen. Für beide sind eine ordnungsgemäße Autorisierung und Rules-of-Engagement-Dokumente erforderlich. Außerdem reduzieren authentifizierte Scans False Positives und False Negatives im Vergleich zu nicht authentifizierten Scans erheblich. Als Nächstes sehen wir uns gängige Scanning-Tools wie Nessus, OpenVAS und Nmap an.