Penetrationstests – Erkennung und Ausnutzung von Schwachstellen Schulung

Wie testet man die Sicherheit von Netzwerken und Diensten?

• Was sind Penetrationstests?
• Penetrationstest vs. Sicherheitsaudit – Gemeinsamkeiten, Unterschiede sowie welcher Ansatz ist der richtige?
• Praktische Probleme – Was kann schiefgehen?
• Umfang des Tests – Welche Aspekte wollen wir prüfen?
• Quellen für bewährte Vorgehensweisen und Empfehlungen

Aufklärung im Penetrationstest

• OSINT – Informationsbeschaffung aus öffentlich verfügbaren Quellen.
• Passive und aktive Methoden zur Analyse des Netzverkehrs.
• Identifikation von Diensten sowie der Netztopologie.
• Sicherheitssysteme (Firewalls, IPS/IDS, WAF usw.) und deren Auswirkungen auf Tests.

Erkennung von Schwachstellen

• Ermittlung der eingesetzten Systeme samt Versionsnummern.
• Suche nach Schwächen in Systemen, Infrastruktur und Anwendungen.
• Gutachtung der Risiken – also: Wie kritisch ist die Schwachstelle?
• Quellen für Exploits sowie Möglichkeiten ihrer Anpassung.

Durchführung von Angriffen und Kontrolleübernahme

• Arten von Angriffen – wie werden sie durchgeführt und welche Folgen haben sie?
• Ausnutzung remote verfügbarer sowie lokaler Exploits.
• Angriffe auf Netzinfrastrukturen.
• Reverse Shell – Kontrolle des kompromittierten Systems.
• Eskalation von Rechten – wie wird man zum Administrator?
• Gängige „Hacking-Tools“ und deren Anwendung.
• Analyse des infizierten Systems – relevante Dateien, gespeicherte Passwörter sowie sensible Daten.
• Spezielle Fälle: Webanwendungen und drahtlose Netzwerke.
• Sozialengineering – wie manipuliert man Menschen, wenn Systeme nicht zu knacken sind?

Spurenverwischung und Aufrechterhaltung des Zugangs

• Systeme zur Protokollierung und Überwachung von Aktivitäten.
• Löschen von Logs sowie Vermeidung nachvollziehbarer Spuren.
• Backdoors – wie lässt man sich später erneut Zugriff verschaffen?

Abschluss des Penetrationstests

• Erstellung und Strukturierung des Berichts.
• Vorstellung und Besprechung des Ergebnisses mit dem Auftraggeber.
• Nachverfolgung der Umsetzung empfohlener Maßnahmen.