Warum ist das Thema \u00fcberhaupt relevant?<\/strong> \u202f <\/p>\n\n\n\n Regelm\u00e4\u00dfige Sicherheitsaudits durch \u201eWhite Hat\u201c Hacker oder Penetrationstester geh\u00f6ren inzwischen zum Daily Business vieler CIOs und zum Standardangebot vieler IT-Dienstleister. Mit der steigenden Bedrohungslage von industriellen Unternehmen, z.B. durch Ransomware, ger\u00e4t aber auch der Schutz der \u201eIndustrie 4.0\u201c-Betriebstechnik und von vernetzten Ger\u00e4ten in den Fokus.<\/p>\n\n\n\n Das gilt gleicherma\u00dfen f\u00fcr Anlagenbauer oder Hersteller von \u201eSmart Devices\u201c, deren Produkte bei Kunden ans Netz gehen, wie f\u00fcr die eigene Produktion und Geb\u00e4udetechnik von z.B. Autozulieferern, Chemiefabriken, Versorgern oder Pharmaunternehmen. Die Pr\u00fcfung von Software-Code geh\u00f6rt ebenso dazu wie Schwachstellentests von Hardware und Netzwerkkonfigurationen. <\/p>\n\n\n\n Was kann ein Penetration Test leisten, was nicht, und wie passen diese in die Sicherheitsstrategie?\u202f<\/strong> <\/p>\n\n\n\n Der technische Fokus von Penetration Tests ohne Social Engineering Aspekten liegt auf dem Versuch, \u00fcber offene bzw. ungeh\u00e4rtete Schnittstellen in das Ziel-Netzwerk einzudringen. Was ist an Penetration Tests f\u00fcr OT unterschiedlich zu Penetration Tests f\u00fcr reine IT-Umgebungen?<\/strong> \u202f <\/p>\n\n\n\n Viele Methoden und Vorgehensweisen sind gleich wie bei Organisationen mit reiner B\u00fcro-IT (oder wenn man die Betriebs- und Automatisierungstechnik einfach au\u00dfer Acht l\u00e4sst). <\/p>\n\n\n\n Beispielsweise werden spezialisierte Betriebssysteme inkl. Repertoire wie Kali oder Parrot Linux genutzt, oder Applikationen, wie bspw. Wireshark zum Aufzeichnen von Datenverkehr. <\/p>\n\n\n\n Allerdings gibt es auch wesentliche Unterschiede: <\/p>\n\n\n\n Ja, es ist immer alles fallabh\u00e4ngig. Aber grosso modo kristallisieren sich ein paar Handlungsempfehlungen als meistens richtig heraus: <\/p>\n\n\n\n Welche Schwachstellen werden typischerweise gefunden, und welche sollten priorisiert behoben werden?<\/strong> <\/p>\n\n\n\n Wie immer gilt: Der n\u00e4chste Euro, den ich nach dem Penetration Test ausgebe, sollte mein Risiko am meisten mindern. <\/p>\n\n\n\n Am besten macht der Penetration Test Partner einen Vorschlag dazu als Diskussionsgrundlage (ansonsten muss man eben die W\u00e4scheliste an Schwachstellen nehmen, und mit dem Anbieter zum Thema Priorisierung in das Gespr\u00e4ch einsteigen). <\/p>\n\n\n\n Gefundene Schwachstellen ziehen sich nat\u00fcrlich entlang des kompletten NIST-Frameworks. <\/p>\n\n\n\n Meistens haben Unternehmen, die auch die Produktionsumgebung einem Test unterziehen, aber davor Hausaufgaben in wesentlichen Aspekten gemacht (z.B. Asset und Software Inventarisierung<\/strong> zumindest f\u00fcr Ebene 2 und dar\u00fcber, oder die Umsetzung von Passwortrichtlinien<\/strong>). <\/p>\n\n\n\n Oder falls \u00fcber Terminals in der DMZ Schreibzugriff besteht. Die Nutzung derselben physischen Netzwerk-Switches f\u00fcr IT und OT stellt ebenfalls eine gro\u00dfe Schwachstelle dar. Und Cloud-Anbindung von ICS-Systemen ist heute oft notwendig, aber meist nicht ausreichend gegen Angriffe abgesichert. <\/p>\n\n\n\n
Sie eignen sich z.B. nicht zur \u00dcberpr\u00fcfung des generellen Sicherheitsmanagements oder speziell der Wiederherstellungsf\u00e4higkeiten nach einem Angriff.
Penetration Tests stellen eine unabh\u00e4ngige Validierung vieler Sicherheitsma\u00dfnahmen dar.
Sie k\u00f6nnen insbesondere zur Aufdeckung von kritischen Sicherheitsl\u00fccken dienen.
Beispielsweise sind sie auch im Rahmen der IEC 62443 f\u00fcr Komponentenhersteller, Systemintegratoren und Betreiber von industriellen Anlagen gefordert. <\/p>\n\n\n\n\n
Was sollte ich als Kunde beachten, um aus dem Penetration Test \u201edas Optimum herauszuholen\u201c? <\/h2>\n\n\n\n
\n
\n
\n
\n