Pentest, Pentest, Pentest

Penetrationstests (Pentesting) sind im Wesentlichen ein ethischer Hack eines Systems, auch bekannt als autorisierter simulierter Cyberangriff, der in drei Typen eingeteilt werden kann: White Box (bekannte Informationen über das System), Grey Box (System teilweise bekannt) und Black Box (System vollständig Unknown). Das moderne Pentesting ist stark reguliert und folgt strukturierten Rahmenwerken, doch seine Ursprünge reichen bis Mitte der 1960er Jahre zurück, als das Timesharing durchstartete. Ende der 1960er Jahre hatten sich das US-Verteidigungsministerium (DoD), die National Security Agency (NSA) und die Central Intelligence Agency (CIA) sowie Wissenschaft und Industrie zusammengeschlossen, um die Bedrohung durch Computerpenetration zu bewerten und zu bestätigen. In den 1970er Jahren traten formelle "Tiger-Teams" mit der alleinigen Aufgabe des Pentestings auf.

Warum Pentest?

• Risikomanagement: Wenn eine Schwachstelle festgestellt wird, wird sie von einer Art Bewertung begleitet; es gibt Bewertungssysteme wie das Common Vulnerability Scoring System (CVSS), aber letztlich besteht jeder Wert meist aus Einfachheit, Wahrscheinlichkeit und Auswirkung. Basierend auf diesem Wert kann er dann in eine Risikokategorie wie Sehr Hoch, Hoch, Mittel usw. eingeteilt werden. Dies lässt sich direkt in Risikoprogramme einbinden und kann helfen, Prioritäten zu lenken.
• Validierung von Sicherheitskontrollen: Es gibt keinen besseren Weg, Ihre aktuellen Kontrollen zu validieren, als sie zu pentesten, um zu bestimmen, ob sie wirksam sind oder nicht, und Stärken und Schwachstellen innerhalb eines Unternehmens zu identifizieren. Dies kann auch andere Gespräche anstoßen, etwa darüber, welche Lösungen es gibt, die Ihnen helfen.
• Compliance: Einige regulatorische Standards schreiben regelmäßige Pentesting vor, um die Einhaltung der Vorschriften zu gewährleisten. Dies zeigt, dass Sorgfaltspflicht bei der Sicherung ihrer Systeme nachgewiesen wird.
• Vorbereitung/Reaktion auf Vorfälle im Spielbuch: Die Simulation eines Angriffs bietet Ihnen außerdem die Möglichkeit, Prozess- und Früherkennungssysteme zu stresstesten. Wenn der simulierte Angriff erkannt wird, kann er mit dem Stand der Ereignisse konfrontiert werden, z. B. zum Sicherheitsoperationszentrum (SOC) gehen und am SOC prüfen, ob der folgende Prozess wirksam war, um auf einen Angriff zu reagieren.
• Drittanbieter-Tests: Der nächste Angriff befindet sich irgendwo in der Entwicklung. Zweifellos ist das interne Team sehr gut, aber es ist sehr schwer, mit der Erfahrung Schritt zu halten, die ein Drittanbieter-Pentest-Team von allen Organisationen sammelt, die sie testen. Die Validierung mit externen Pentest-Teams liefert eine unvoreingenommene Bewertung und zeigt ein Engagement, die Systeme zu schützen.
• Bewusstsein: Nichts wird so viel Aufmerksamkeit erregen wie das Pentesting-Team, das das Hauptsystem der Aufzeichnung mit einer sehr einfachen und wahrscheinlich auszunutzenden Technik durchbricht. Nicht alle Stakeholder sind technisch bezüglich, daher bringt das Einbringen von Schwachstellen in eine verständliche Sprache alle auf derselben Wellenlänge. Die Validierung einer verwundbaren Haltung beeinflusst auch kommerzielle Entscheidungen und das für die Sanierung vorgesehene Budget.
• Schwachstellen identifizieren: Zu wissen, wo sich Schwachstellen in Ihrem System befinden, bedeutet, dass eine Organisation sie beheben kann, bevor sie ausgenutzt werden. Je nachdem, wie ausgereift die Sicherheitsreise der Organisation ist, kann eine Liste von Schwachstellen eine effektive Möglichkeit sein, Behebungsmaßnahmen zu steuern.

Großrechner-Pentesting

Wir wissen jetzt, warum eine Organisation pentesten sollte, also sprechen wir über Mainframe und Pentesting. Im Gegensatz zu vielen anderen Plattformen im Unternehmen gibt es kein spezielles Toolkit zum Testen des Mainframes – das meiste davon wird aus eigenen Werkzeugen bestehen. Letztlich kann ein Pentest-Anbieter einen maßgeschneiderten Service für Sie erstellen, aber ich werde erläutern, welche Dienste für den Mainframe verfügbar sind und wie drei Mainframe-Pentests im Kontext von weiß, grau und schwarzer Box aussehen könnten.

Arten von Mainframe-Pentesting:

• Netzwerk: intern und extern
• Betriebssystem: IBM^® z/OS^®
• IBM Enterprise Content Management System Monitor (ESM) Sicherheitskontrollen (IBM^® RACF^®, Broadcom ACF2 und IBM^® TSS)
• Teilsystemspezifisch:
  • IBM^® CICS^®
  • IBM^® MQ^®
  • IBM^® IMS^™
  • IBM^® Db2^®
  • IBM^® WebSphere Anwendungsserver^® (WAS)
• White-Box-Beispiel: Systemzugriff wird mit einer einfachen Benutzer-ID und einem Passwort für eine CICS-Anwendung gewährt. Dem Tester wird erklärt, wie er zur Anwendung navigieren soll, und der Umfang des Pentests betrifft nur eine bestimmte CICS-Anwendung.
• Graues Box-Beispiel: Systemzugriff erfolgt mit einer einfachen Benutzer-ID und Passwort (oder einfach mit der IP-Adresse des Großrechners). Der Tester erhält begrenzte Kenntnisse über das System – zum Beispiel, ob es Db2 ausführt. Der Tester kann alle Techniken anwenden, um das System zu übernehmen.
• Black-Box-Beispiel: Ein Black-Box-Test kann mehrere Schichten umfassen: Ein Team führt einen physischen Breach durch, ein spezialisiertes Netzwerk-Pentest-Team oder ein Social-Engineering-Team erreicht den Punkt, an dem ein Mainframe-Pentest zugänglich ist, und das Mainframe-Pentest-Team übernimmt dann die Kontrolle. Von diesem Punkt an versucht der Tester, den Mainframe zu knacken; vom Sniffen von Zugangsdaten bis zum Brute-Forcing werden alle Angriffsvektoren getestet.

Sicherheitsbewertung versus Pentesting

Eine Sicherheitsbewertung ist ein tiefgehender Sammelprozess von Konfigurationen und Kontrollen, um letztlich zu berichten, wo Verbesserungen vorgenommen werden können. Ein Pentest kann jedoch mehrere dieser Schwachstellen in einer Reihe zusammenführen, um einen Angriff durchzuführen. Eine Bewertung legt nahe, wo eine Organisation verwundbar sein könnte, während ein Pentest dies beweist. Eine Bewertung ist umfassend, während ein Penetrationstester den Test als Erfolg einstufen kann, sobald er im Dienst ist. Letztlich sind beide wichtig, bieten unterschiedliche Dinge und sollten regelmäßig durchgeführt werden. Ein blinder Fleck, den eine Bewertung darstellen kann, ist ein Beispiel von drei risikoarmen, falsch konfigurierten Einstellungen, die zusammen einen Hochrisiko-Vektor für den Penetrationstester schaffen.

Mögliche Bedenken im Zusammenhang mit Penetrationstests

Es gibt auch mögliche Nachteile beim Pentesting, und es ist wichtig, diese zu besprechen.

• Betriebsstörung : Wenn es nicht sorgfältig geplant wird oder das System nicht richtig verstanden wird, kann es zu Störungen führen (dies ist mit einem erfahrenen Team und einem gut geplanten Test unwahrscheinlich).
• Anwendungsbereichsgrenzen: Wenn der Client den Umfang sehr stark einschränkt, kann er Schwachstellen in anderen Bereichen des Systems übersehen und ein falsches Sicherheitsgefühl (Falsch-Positiv) vermitteln.
• Ressourcen: Spezialisierte Ressourcen sind sehr selten, und jemanden zu finden, der Ihr System testen kann, kann eine Herausforderung sein.
• Häufigkeit: Der Zeitraum, in dem die Tests durchgeführt werden, muss in einem sinnvollen Rhythmus erfolgen, wenn man bedenkt, wie wahrscheinlich es ist, dass neue und weiterentwickelte Bedrohungen in die Landschaft treten.

Die Zukunft

Automatisierung und künstliche Intelligenz (KI) werden künftig zwangsläufig eine Rolle spielen. Wenn Penetrationstester mehr Daten sammeln, können sie in Modelle trainiert werden, um neue Vektoren vorzuschlagen. KI-Modelle selbst werden getestet; da Modelle ein Ziel haben, kann dieses Ziel ausgenutzt und "vergiftet" werden. Zero-Trust-Modelle können pentestet werden, anstatt das System selbst, um zu zeigen, dass eine Organisation keinem Nutzer Privilegien gewährt. Organisationen werden auch kontinuierliche Tests einführen, während Toolkits entwickelt werden. Es ist unvermeidlich, dass eine Lösung auf den Markt kommt, die eine langjährige Aufgabe nachahmen und ständig prüft, ob ein Exploit ausgeführt werden kann.

Zusammenfassung

Während Penetrationstests ein Grundpfeiler zur Verbesserung Ihrer Sicherheitslage sein sollten, ist es wie bei den meisten Dingen nur wirksam, wenn danach Maßnahmen ergriffen werden. Pentesting allein reicht nicht aus, um die Systemsicherheit validiert zu halten; sie sollten von Bewertungen begleitet werden, ebenso wie Sicherheitsprodukten wie Echtzeit-Warnungen und Compliance. Dies ist ein Bereich, der auf dem Großrechner weiter wachsen wird. Mit in Kraft tretenden Vorschriften wie dem Digital Operational Resilience Act (DORA) der Europäischen Union, sollten Sie, falls Sie noch keinen Pentesting durchführen, den vorgeschriebenen Vorschriften voraus sein und den Prozess selbst starten.

Diese Beiträge sind meine eigenen und spiegeln nicht unbedingt die Position, Strategien oder Meinung von BMC wider.