Penetration Testing

Der Penetrationstest simuliert das Verhalten eines Angreifers, um autorisierte Angriffstests gegen ein System durchzuführen, ausnutzbare Schwachstellen zu entdecken und das reale Risiko zu bewerten.

Zweck

Die Wirksamkeit der Abwehr aus Angreifersicht validieren und logische sowie verkettete Schwachstellen entdecken, die automatisierte Scans übersehen.

Mechanismus

Phasen: Reconnaissance (Informationssammlung) → Scanning (Ports, Dienste, Schwachstellen) → Enumeration → Exploitation → Post-Exploitation → Bericht. Typen: Black Box (ohne interne Infos), White Box (volle Infos), Gray Box. Umfang und Autorisierung müssen explizit sein. Werkzeuge: Metasploit, Burp Suite, nmap.

Anwendungsfälle

Compliance-Anforderungen (PCI DSS)
Sicherheitsvalidierung vor dem Launch
Red-Team-Übungen
Schwachstellenverifizierung

Beispiele

Eingabe

Authorized scope + target system

Output

Vulnerability report + remediation advice

Simulated attack

Häufige Fehler

Testing without written authorization: Explicit written authorization is mandatory; otherwise it is illegal