{"id":6128,"date":"2020-07-30T08:11:50","date_gmt":"2020-07-30T06:11:50","guid":{"rendered":"https:\/\/blog.iese.fraunhofer.de\/?p=6128"},"modified":"2024-01-22T11:25:30","modified_gmt":"2024-01-22T10:25:30","slug":"it-security-teil2","status":"publish","type":"post","link":"https:\/\/www.iese.fraunhofer.de\/blog\/it-security-teil2\/","title":{"rendered":"IT-Security (2\/4): Penetrationstests mit Nmap"},"content":{"rendered":"

Im ersten Artikel<\/a> unserer Artikelserie \u00bbIT-Security\u00ab<\/a> haben wir die IT-Sicherheitsaudits des Fraunhofer IESE<\/a> vorgestellt und dabei die einzelnen zugeh\u00f6rigen Phasen eines IT-Sicherheitsaudits beschrieben. Im Rahmen der ersten Phase sind die Penetrationstests ein essenzieller Bestandteil. Mit diesem zweiten Artikel liefern wir hilfreiche Definitionen zu g\u00e4ngigen Begrifflichkeiten im Kontext der IT-Sicherheitspraxis und gew\u00e4hren einen Einblick in diesen Bereich unter Verwendung des Tools Nmap.<\/p>\n

Was sind Penetrationstests?<\/h2>\n

Dan Farmer und Wietse Venema ver\u00f6ffentlichten 1993 den Artikel<\/a> \u00bbImproving the Security of Your Site by Breaking Into It<\/i>\u00ab. In diesem Artikel betrachten sie verschiedene Wege zur Beurteilung der Sicherheit eines Systems von au\u00dfen, aus der Perspektive eines potenziellen Angreifers. Der Begriff \u00bbPenetrationstest\u00ab etablierte sich dann im Jahr 1995 mit der Ver\u00f6ffentlichung des ersten Unix-basierten Verwundbarkeitsscanners \u00bbSATAN<\/a>\u00ab (S<\/strong>ecurity A<\/strong>dministrator T<\/strong>ool for A<\/strong>nalyzing N<\/strong>etworks) von Dan Farmer und Wietse Venema<\/a>. Mit diesem Tool lie\u00dfen sich Rechner erstmals automatisiert auf Schwachstellen untersuchen. Heutzutage sind viele freie und kommerzielle Tools verf\u00fcgbar, die das Suchen nach Schwachstellen relativ komfortabel gestalten.<\/p>\n

Es ist heutzutage f\u00fcr gr\u00f6\u00dfere Unternehmen \u00fcblich, zur Abwehr von Angriffen gegen ihre IT-Systeme und Netze pr\u00e4ventive Sicherheitskonzepte zu erstellen und diese mithilfe verschiedener Ma\u00dfnahmen umzusetzen. Penetrationstests werden dann genutzt, um die Wirksamkeit dieser umgesetzten IT-Sicherheitsma\u00dfnahmen zu \u00fcberpr\u00fcfen, indem sie m\u00f6gliche Wege von Angreifern gehen, um vorhandene Schw\u00e4chen aufzusp\u00fcren. Es ist davon auszugehen, dass Angreifer die \u00fcblichen Sicherheitsma\u00dfnahmen und Defizite gut kennen und gezielt danach suchen. Dabei suchen sie nicht nur nach dem Unternehmen unbekannten L\u00fccken in der Absicherung, sondern auch nach bereits bekannten Verwundbarkeiten. Letzteres werden wir in diesem Artikel betrachten.<\/p>\n

Ziele eines Penetrationstests<\/h3>\n

Die Zielsetzung eines Penetrationstests kann die Erh\u00f6hung der Sicherheit eines technischen Systems oder der organisatorischen oder personellen Infrastruktur, die Best\u00e4tigung der IT-Sicherheit durch externe Dritte oder die Identifikation von Schwachstellen sein.<\/p>\n

Vorgehen bei Penetrationstests<\/h3>\n

Das grunds\u00e4tzliche Vorgehen bei der Durchf\u00fchrung von Penetrationstests sieht im ersten Schritt die Recherche nach Informationen \u00fcber das Zielsystem bzw. die Zielsysteme vor. Im Anschluss werden die Systeme untersucht und festgestellt, welche Dienste sie anbieten. Typische Ansatzpunkte sind Firewalls, Webserver, Fernwartungszug\u00e4nge oder typische Dienste wie E-Mail, FTP oder DNS. Die angebotenen Dienste werden im dritten Schritt weiter untersucht, um die eingesetzten Systeme und Anwendungen genau zu erkennen. Auf Basis dieser Ergebnisse (Anwendungstyp, -hersteller, -version) l\u00e4sst sich zu diesem Zeitpunkt schon nach (bereits bekannten) Schwachstellen recherchieren. Im letzten Schritt k\u00f6nnen die Schwachstellen dann ausgenutzt werden. Die Ausgestaltung der Penetrationstests ist individuell und h\u00e4ngt von vielen Faktoren ab, u.a. von den Anforderungen und von der Situation des Auftraggebers.<\/p>\n

Grunds\u00e4tzlich unterscheidet man mehrere Wege, um IT-Systeme anzugreifen, zu manipulieren oder um generell Angriffe vorzubereiten: Umgehung physischer Sicherheitsma\u00dfnahmen, Social Engineering und Angriffe \u00fcber das Netzwerk. Dieser Artikel befasst sich ausschlie\u00dflich mit Angriffen \u00fcber das Netzwerk.<\/p>\n

Klassifikationen von Penetrationstests<\/h2>\n

Penetrationstests lassen sich auf Basis mehrerer Kriterien klassifizieren (Quelle: Durchf\u00fchrungskonzept f\u00fcr Penetrationstests – BSI<\/a>) und damit unterscheiden:<\/p>\n