Kann Hacken eine Dienstleistung sein? Ein kleiner Exkurs in die Welt des “ethischen” Hackens

In der heutigen Welt brauchen Exitenzgründer, Start-ups und große Unternehmen ein gutes Sicherheitssystem für ihre digitalen Daten. Es gibt ein paar einfache Schritte und Regeln, die Sie befolgen sollten, um Ihre Daten und Ihr Unternehmen zu schützen: Kaufen Sie eine gute Netzwerkausrüstung, laden Sie ein VPN herunter, um auf Ihr internes Netzwerk zuzugreifen, verwenden Sie eine komplexe Passwortpolitik für alle Mitarbeiter und schließlich ein Antivirusprogramm. Aber selbst wenn Sie alle möglichen Schutzmaßnahmen ergriffen haben, sollten Sie Ihr Sicherheitssystem regelmäßig extern testen, denn die Technologien bleiben nie stehen und Cyberangriffe entwickeln sich parallel zur Software weiter.

Pentest ist ein obligatorischer Schritt im Zyklus der Cybersicherheit eines Unternehmens. Dabei testen Spezialisten das System auf Schwachstellen, indem sie buchstäblich versuchen, in das System einzubrechen. Das heißt, sie arbeiten verschiedene Szenarien aus, mit denen ein Angreifer in das System eindringen und illegale Aktionen durchführen kann. Manchmal werden Pentester auch als „weiße“ oder „ethische“ Hacker bezeichnet.

Was ist die Aufgabe von “ethischen” Hackern?

Wie wir bereits wissen, sind Hacker Angreifer, die Schwachstellen im Sicherheitssystem von Unternehmen finden, sich Zugang zu persönlichen Informationen von Kunden verschaffen: Konten, Bankkarten und andere Aspekte zum Thema Datenschutz – um diese Informationen dann auf dem Schwarzmarkt zu verkaufen. „Ethische“ Hacker stellen alle von ihnen gefundenen Schwachstellen in speziellen Berichten zusammen und senden sie an die angegriffenen Unternehmen. Im Gegenzug werden sie dafür belohnt. Als Analogie kann man sich eine Bank vorstellen, die ankündigt, demjenigen einen bestimmten Geldbetrag zu zahlen, dem es gelingt, in ihren Tresor einzubrechen oder eine Schwachstelle im Betrieb zu finden.

Es sei auch darauf hingewiesen, dass nicht alle Unternehmen für Ethical Hacking bezahlt werden. Erstens hätte die gefundene „Lücke“ im Sicherheitssystem schon früher entdeckt werden können und ist bereits bekannt, und zweitens ermutigen einige Unternehmen grundsätzlich keine Hackversuche. Die größten Kunden der „weißen“ Hacker sind IT-Unternehmen wie Google, Apple, Microsoft und Facebook. Sie erhalten eine möglichst hohe Vergütung und ihre Arbeitsbedingungen sind so transparent wie möglich.

Welche Arten von Pentest gibt es?

Die Arten des Pentest können wie folgt strukturiert werden (sie können in verschiedenen Kombinationen kombiniert werden, im Rahmen dieses Artikels werden von uns keine „hybriden“ Formen berücksichtigen):

1. Externer Pentest nach der „Grey-Box“-Methode ⎯ Das ist die zugänglichste der bestehenden Optionen. Sie umfasst das Scannen und die Schwachstellenanalyse der Ressourcen der Organisation, die Zugang zum Internet haben. Die Kosteneinsparungen sind im Vergleich zu anderen Optionen erheblich, aber die Angriffsvektoren eines internen Angreifers werden nicht ausgearbeitet, so dass diese Analyse nicht als vollständig angesehen werden kann.
2. Pentest, basierend auf Social-Engineering-Methoden. Hier gibt es eine Vielzahl von Optionen, die jedoch alle eher auf die Überprüfung der Mitarbeiter als auf die Überprüfung der Infrastruktur ausgerichtet sind. In der Praxis ermöglicht die Kombination mit der vorherigen Option einen gewissen Erfolg beim Hacken. Sie können Phishing, E-Mail und SMS, Telefonanrufe und sogar persönliche Gespräche mit Bankangestellten umfassen.
3. Interner Blackbox-Pentest ⎯ Es ist einer der unbeliebtesten Pentests aufgrund seiner Einschränkungen. Bei diesem Test wird davon ausgegangen, dass der Prüfer keine Daten über die internen Systeme des Unternehmens hat. Ihm wird eine Rj-45-Buchse zur Verfügung gestellt, und dann wird „auf gut Glück“ getestet. Normalerweise kann nicht alles entdeckt werden. Auf andere Varianten der „Black Box“ wird hier nicht eingegangen, da sie weniger mit der Schwachstellenanalyse als mit der Sammlung von OSINT-Informationen zu tun haben.
4. Interner „Grey-Box“-Pentest ⎯ ist eine ausgewogene Option, bei der der Tester den Arbeitsplatz eines Mitarbeiters mit nicht privilegierten Rechten im Netz erhält. Diese Methode bietet in der Regel die Möglichkeit, interessante Ergebnisse zu sammeln.
5. White-box pentest ⎯ ist eher selten und teuer. Es handelt sich eher um ein Audit als um einen Pentest, da der Tester administrative Rechte für das Netzwerk der Organisation erhält und anfangs über alle Informationen über die Systeme der Organisation verfügt.
6. Pentest nach dem RED TEAM-Modell ⎯ ist ein Versuch, mit allen verfügbaren Methoden in die Organisation einzubrechen, bei dem nicht nur die Angriffsmöglichkeiten, sondern auch die Qualität der Reaktion des IS-Dienstes analysiert werden.
7. Pentest von Anwendungen, insbesondere WEB und Mobile ⎯ die Apps der Organisation werden separat analysiert. Wir werden sie nicht berücksichtigen, da es separate Anforderungen für Anwendungssoftware gemäß OUD4 gibt, die diesen Pentest mit einem Vorbehalt abdecken.

Globaler Markt für Penetrationstest-Dienstleistungen

Experten gehen davon aus, dass der globale Markt für Penetrationstests in den kommenden Jahren ein deutliches Wachstum von durchschnittlich 12,2 % aufweisen wird. Penetrationstests sind eine der wichtigsten Methoden zum Auffinden von Fehlern und Schwachstellen, die die Sicherheit einer IT-Infrastruktur gefährden können. Mit der zunehmenden Digitalisierung und den alle paar Jahre aufkommenden neuen Technologien steigt der Bedarf an Sicherheit und Schutz von Online-Plattformen und Webdiensten.

Dieses Sicherheitsbedürfnis treibt auch das Wachstum des Marktes für Penetrationstests voran. Betrachtet man die Nachfrage von Unternehmen nach Penetrationstests auf der Grundlage ihrer Größe, so sind große Unternehmen die ersten Befürworter von Penetrationstests. Sie sind aufgrund des großen Datenvolumens, das sie erzeugen und verwalten, am anfälligsten für Risiken. Der globale Markt für Penetrationstests ist auch nach geografischen Gesichtspunkten segmentiert und wird in Nordamerika, Europa, Asien und den Rest der Welt unterteilt. Experten gehen davon aus, dass Nordamerika die führende Region auf dem Markt für Penetrationstests sein wird, gefolgt von Europa. Das Marktwachstum in diesen beiden Regionen ist hauptsächlich auf die Präsenz einer großen Anzahl von Penetrationstest-Unternehmen zurückzuführen. Darüber hinaus konzentrieren sich diese Regionen schon seit langem auf Sicherheit und Schutz, was erheblich zum Wachstum des Marktes beigetragen hat.

Fazit

Ein Pentest ist erforderlich, um das System auf Schwachstellen zu testen und im weiteren Sinne Ihre Daten, Ihren Ruf und Ihr Geld zu schützen. Dies ist eine komplexe und mühsame Aufgabe. Es ist besser, für einen Pentest zu bezahlen als mit den Kriminellen zu verhandeln oder zu versuchen, die Lösegeldsumme zu reduzieren.