Was ist ein Sicherheitsaudit?
Sicherheitsaudits sind Sicherheitsprüfungen, die in Ergänzung zu Penetrationstests stattfinden, da sie eine zusätzliche Bewertungsebene zu technischen Aspekten wie Quellcode, System- und Netzwerkkonfiguration darstellen, auf die Angreifer im Regelfall keinen Zugriff haben.Diese Dienste ermöglichen die Entdeckung von Sicherheitslücken mit erheblichen, dauerhaften Risiken, die jedoch im „Blackbox“-Modus schwer zu erkennen sind.
Aufgrund der Ergebnisse dieser Dienste kann SSL247® Ihnen konkrete Empfehlungen zur Verfügung stellen (im Fall von Quellcode-Audits auch einen Korrekturpatch, falls erforderlich) und Ihnen Informationen über den Zustand der getesteten Anwendungen, Systeme und der Netzwerksicherheit bieten.
SSL247® bietet die folgenden Sicherheitsaudits:
Konfigurationsprüfung
Eine umfangreiche Sicherheitsprüfung der Switche, Router und anderen kritischen Geräte in Ihrem Netzwerk.
Quellcodeprüfung
Die umfassendste Prüfung, um Schwachstellen im Code Ihrer Anwendung zu erkennen.
Prüfung der Sicherheitsarchitektur
Eine Auditierung, bei der die Stärken und Schwächen der Systemarchitektur Ihrer Informationssysteme und - sicherheit ermittelt werden.
Welche Lösung eignet sich am besten für Ihre Organisation?
Unserer Pen-Tester haben einen maßgeschneiderten Fragenkatalog zusammengestellt, mit dem sich der beste Service zur Lösung Ihrer Probleme bzw. für Ihre Bedarfssituation bestimmen lässt.
Sicherheitsprüfungen von SSL247
Konfigurationsprüfung
Bei einer Konfigurationsprüfung wird die Sicherheit einer oder mehrerer Geräte in Ihrem Netzwerk bewertet wobei auch deren Konfiguration/Integration bewertet wird.
Unsere spezialisierten Berater setzen sich zum Ziel, eventuell vorliegende Abweichungen zwischen der Sicherheitskonfiguration Ihrer Komponenten wie Server, Workstations, Datenbanken, spezielle Anwendungen usw. und bestehenden Best-Practice-Ansätzen der Sicherheitstechnik zu ermitteln.
Diese Prüfung deckt folgende Bereiche ab:
Gezielte und umfassende Erkennung von Unstimmigkeiten und Fehlern, die Sicherheitsrisiken für Ihre Plattform darstellen.
Ermitteln von Schwächen und Bewertung der damit verbundenen Risiken (z. B. Beeinträchtigungsgrad für die Sicherheit und erforderlicher Aufwand für einen Angriff).
Erstellen eines Behebungsplans mit gezielten, für Sie bedarfsgerechten Vorschlägen, mit dem die Sicherheitsstufe erhöht wird und die Konfiguration von Komponenten verbessert wird.
Die Methodik einer Konfigurationsprüfung lässt sich auf jede Art von Umgebung anpassen, beispielsweise auf Server/Workstations (Windows, Unix, usw.), Datenbankserver, Anwendungsserver, Netzwerkgeräte (Filterregeln), Telefongeräte (PABX, JPBX, SVL...) und Mobilterminals. Unsere Berater können für Sie Leitfäden für bessere Sicherheitsvorkehrungen erstellen und Ihren Teams Ressourcen zur Hand geben, mit denen sie Best-Practice-Methoden umsetzen können. Dabei unterstützen wir jede von SSL247® beherrschte Technologie.
Wir können auch regelmäßige Verifzierungsskripte („Compliance-Checks“) entwickeln, die einen breiten Bereich abdecken und sicherstellen, dass die Sicherheit Ihrer Konfigurationsdateien langfristig gewährleistet ist.
Wir können auch regelmäßige Verifzierungsskripte („Compliance-Checks“) entwickeln, die einen breiten Bereich abdecken und sicherstellen, dass die Sicherheit Ihrer Konfigurationsdateien langfristig gewährleistet ist.
Der Service unterteilt sich in zwei Phasen:
Phase 1: Verstehen des Kontexts und des Nutzens einzelner Elemente
- Dabei entwickelt der Prüfer ein Gesamtverständnis, anhand dessen er kontextbezogene Ergebnisse erstellt.
- Diese Phase kann für eine umfassendere Prüfung auch die Analyse der Dokumentation sowie Gespräche mit den Technikteams umfassen.
Phase 2: Schwachstellenanalyse: Alle Gerätedienste werden verifiziert, und jeder Konfigurationspunkt analysiert
- Updates für einzelne Dienste werden systematisch verifiziert..
- Besondere Aufmerksamkeit wird allen Sicherheitsmechanismen gelten, ungeachtet des Aktivierungsstatus (Datenverschlüsselung, Analyse des Virenschutzsystems usw.).
Quellcodeprüfung
Eine Quellcodeprüfung ist der umfassendste Dienst, der sich auf eine Anwendung anwenden lässt – dabei können Schwachstellen in der Anwendung durch Untersuchung des Quellcodes zuverlässig erkannt werden.
Vorbedingungen
Diese Art von Prüfung erfordert die Bereitstellung des Quellcodes selbst, sowie von dessen Dokumentation. Für eine umfassende Prüfung können auch Gespräche mit Entwicklern und Architekten durchgeführt werden.
Ausführliches Erforschen der Anwendung
Eine Quellcodeprüfung ermöglicht die Erkennung von Schwachstellen, die im Blackbox-Testmodus (insbesondere beim Anwendungs-Pentest) nicht erkannt werden können. Der Grund hierfür ist, dass eine Quellcodeprüfung Schwächen der internen Mechanismen aufdecken kann, beispielsweise fehlende Verschlüsselung oder Missachtung von Best-Practice-Verfahren bei der Entwicklung. Zusätzlich können Schwächen bei der Authentifizierung, Protokollierung und Nachverfolgung erkannt werden. Die Erkennung und Behebung dieser Schwachstellen kann das Sicherheitsniveau Ihrer Anwendung insgesamt erheblich verbessern.
Compliance mit Rechtsbestimmungen
Falls erforderlich können wir auch die Compliance mit geltenden Rechtsbestimmungen validieren (z. B. mit den von PCI-DSS [Verschlüsselung usw.] vorgesehenen Regelungen, Ansprüchen von Regulierungsbehörden, Rechtsauflagen für öffentliche Websites...).
Ergänzende Pentests
Bei dieser Art von Prüfung können wir einen zusätzlichen Pentest durchführen, am beide Ansätze zu kombinieren und somit das umfassendste Ergebnis erreichen, das zur Verfügung steht.
Prüfung der Sicherheitsarchitektur
Diese technische Prüfung umfasst eine beschleunigte Analyse der eingesetzten technischen Architektur anhand der uns zur Verfügung gestellten Angaben und Elemente. Dabei wird nicht die technische Steuerung des Systems selbst geprüft, es wird jedoch auf technische Hotspots und den anfänglichen Aktionsplan eingegangen.
Diese Prüfung setzt sich zusammen aus:
Bedarfsermittlung und Analyse der bestehenden Situation: Diese Erhebung wird im Regelfall durch Gespräche mit Geschäfts-, Produktions-/Technik- und Organisations-/Sicherheitsteams durchgeführt. Bei diesen Gesprächen werden die Erfordernisse der einzelnen Abteilungen herausgestellt, die sich dann im Hinblick auf das Sicherheitsdesign und bestehenden Schutzmechanismen analysieren lassen.
Bestandsaufnahme der Ergebnisse : Hiermit ist die Analyse der Testergebnisse (einschließlich Pentests) und das Erkennen der Hauptrisiken der aktuellen Architektur gemeint.
Präsentation von Best-Practice-Ansätzen und Feedback : Davon berührt sind Organisation (Prozesse/Strategie), Betrieb, Verwaltung und Architektur, Dokumentation und Prozeduren.
Detaillierte und umfassende Berichte
|
Unsere Berichte sind viel mehr als eine einfache Liste mit Schwachstellen, die von einem automatischen Tool erstellt wird. Von der Methodologie und den eingesetzten Strategien bis hin zur Datennachverfolgung schaffen unsere Berichte die erforderlichen Informationen, damit Ihr Team die Ausnutzung der erkannten Schwachstellen verstehen und nachvollziehen kann. |
|
Auch folgender Sevice könnte für Sie interessant sein:
Warum SSL247® auswählen?
SSL247® besitzt mehr als 15 Jahre Erfahrung und Fachwissen in der Web-Security-Branche sowie zahlreiche Akkreditierungen wie EMEA Symantec Champion Award 2017. Wir sind Spezialisten im Bereich Online Business Continuity und sind stolz auf folgende Errungenschaften:
Reaktionsfähig und flexibel
Unsere akkreditierten Sicherheitsberater und zertifizierten Pen-Tester stehen für Sie bereit, um Sie bezüglich des passenden Ansatzes zu beraten.
Technisch kompetent
Alle unsere Berater und Auditoren werden regelmäßig durch Dritt-Unternehmen geschult und über die neuesten Schwachstellen und Angriffstechniken informiert.
Zertifizierte Experten
Unsere Berater besitzen unter anderem folgende Zertifizierungen: OSCP (Offensive Security Certified Professional), OSCE (Offensive Security Certified Expert) und OPST (OSSTMM Professional Security Tester).
Kontaktieren Sie uns
Weitere Infos über den Nutzen unserer Serviceangebote zur Sicherheitsbewertung für Ihr Unternehmen erhalten Sie jederzeit von einem unserer akkreditierten Berater: