Security Scan

Automatisierte, technische, unprivilegierte, Sicherheitsüberprüfung mit manueller Verifikation der Sicherheitslücken aus der Perspektive eines Angreifers mit Skill Level «Script Kiddie».

Der Security Scan ermittelt das allgemeine Sicherheitsniveau des Untersuchungsobjekts. Während der zur Verfügung stehenden Testzeit wird systematisch nach allen Sicherheitslücken gesucht (wobei die Testtiefe wesentlich geringer ist als beim Penetration Test). Die Sicherheitslücken werden anschliessend zusammen mit den entsprechenden Massnahmen im Schlussbericht dokumentiert.

Im Gegensatz zum Penetration Test erfolgt der Grossteil der Tests teil-automatisch. Da beim Security Scan die gefundenen Sicherheitslücken anschliessend verifiziert werden, können Falschmeldungen minimiert werden (im Gegensatz zum vollautomatischen und von OneConsult nicht angebotenen Vulnerability Scan).

Unsere Security Consultants haben für unsere Kunden hunderte technische Security Audits durchgeführt. Es folgt ein kleiner Auszug getesteter Technologien:

• Client- und Server-Betriebssysteme: Microsoft Windows, Unix, Linux, Android, iOS, BlackBerry OS etc.
• Implementierungen: Online Shops, Internet Banking Portale, Mobile Apps, Appliances, Mail- und Webserver, Active Directory und LDAP, SharePoint, IAM Systeme, VoIP, SAP, SQL Server, Oracle etc.
• Server und Services

Vorgehen Security Scan

Der Auftraggeber definiert den Informationsgrad beider Parteien (Tester und Administratoren/Anwender der zu testenden Systeme):

• Double Blind: Die Tester erhalten vorweg keinerlei Informationen über die zu prüfenden Systeme und die Administratoren/Anwender der zu prüfenden Systeme werden nicht über den anstehenden Audit informiert. Dies ist der realistischste Ansatz.
• Blind: Die Administratoren/Anwender der zu prüfenden Systeme werden nicht über den anstehenden Audit informiert. Ziel ist es, die Reaktion des Security Teams des Kunden zu testen.
• Black Box: Die Tester erhalten vorweg keinerlei Informationen über die zu prüfenden Systeme. Die Administratoren/Anwender der zu prüfenden Systeme werden über den anstehenden Audit informiert. Ziel ist es, Sicherheitslücken aufzuspüren und auszunutzen.
• Grey Box: Die Tester erhalten vorweg teilweise Informationen über die zu prüfenden Systeme. Die Administratoren/Anwender der zu prüfenden Systeme werden über den anstehenden Audit informiert. Ziel ist die effiziente Projektdurchführung, indem verhindert wird, dass wertvolle Projektzeit verschwendet wird.
• White Box: Die Tester erhalten vorweg detaillierte Informationen über die zu prüfenden Systeme. Die Administratoren/Anwender der zu prüfenden Systeme werden über den anstehenden Audit informiert. Ziel ist die Simulation einer Attacke mit Insiderwissen.

Die Ergebnisse liegen am Schluss in Form eines manuell verfassten, kurzen Abschlussberichtes (Umfang ca. 8 - 12 Seiten) vor. Sämtliche Tool-generierten Reports und Rohdaten, sowie der Mitschnitt des Netzwerkverkehrs (Dump Files) und das Action Log (Protokoll des Testers bzw. der Tester) liegen auf einem Datenträger bei.

Wir bieten Security Scans für einzelne Systeme (z.B. als Ergänzung zum Application Security Audit) sowie für kabelgebundene (z.B. Internet, DMZ und LAN/WAN) und kabellose Netzwerke (z.B. WLAN, BlueTooth, GSM/UMTS oder Infrarot) an.

Der Funktionsumfang des Basismoduls Security Scan kann mit diversen optionalen Ergänzungsmodulen individuell erweitert werden.

System Hardening

Selbstverständlich unterstützen wir unsere Kunden auf Wunsch auch kompetent bei der Systemhärtung (z.B. mittels Security Patches, Konfigurationsänderungen oder Kernel-Modifikationen).

Security Audit Kompetenz

Unsere Mitarbeiter haben für unsere Kunden seit 2003 mehr als 450 technische Security Audits nach OSSTMM durchgeführt. Die OneConsult GmbH ist ISECOM Licensed Auditor (Platinum Level), ISECOM Partner (akkreditierter Schulungsanbieter) und das - an der Anzahl OSSTMM-konformer Security Audits gemessen - führende Unternehmen in Europa.