Maximize your penetration tests with Tenable
Tenable unterstützt Penetrationstests durch die Automatisierung von Prozessen zur schnellen Aufdeckung von Sicherheitslücken, damit Sie das Cyberrisiko verringern können.
How are penetration testing and vulnerability scanning different?
Obwohl Penetrationstests und Schwachstellen-Scanning einander ergänzen, handelt es sich dennoch um unterschiedliche Prozesse.
Penetrationstests helfen Ihnen, Schwachpunkte in Ihrer Angriffsfläche zu aufzuspüren, sodass Sie ermitteln können, ob Angreifer in Ihr Netzwerk eindringen oder sich unbefugt Zugriff auf Ihre Assets und Systeme verschaffen können.
Penetrationstests werden in der Regel von einem erfahrenen und gut geschulten Dritten durchgeführt, der eine Vielzahl von Techniken anwenden kann, um diese Schwachpunkte genauso aufzuspüren und auszunutzen, wie es ein Angreifer tun würde.
Bei einem Penetrationstest handelt es sich um eine zeitpunktbezogene Bewertung der Schwachstellen in Ihrer Umgebung, sowohl On-Premise als auch in der Cloud. Schwachstellen-Scans hingegen ermitteln bekannte Sicherheitsprobleme und Fehlkonfigurationen innerhalb Ihrer Angriffsoberfläche, sodass Sie Behebungsmaßnahmen planen können, um das Cyberrisiko Ihres Unternehmens zu verringern.
Regulierungs- und Compliance-Behörden können eine regelmäßige Durchführung von Penetrationstests und Schwachstellen-Scanning vorschreiben, wie etwa gemäß dem Payment Card Industry Data Security Standard (PCI DSS). Aber dennoch sind sich einige Unternehmen über die Unterschiede zwischen den beiden Konzepten nicht im Klaren.
In diesem Leitfaden für Pentests erfahren Sie mehr über die Unterschiede zwischen Penetrationstests und Schwachstellen-Scans, um ein besseres Verständnis dafür zu erlangen, dass beide kritische Komponenten eines ausgereiften und effektiven Cybersecurity-Programms darstellen.
Tenable Connect-Community: Ihre erste Anlaufstelle zum Thema Penetrationstests
Sind Sie ein Cybersecurity-Experte, der sich auf Penetrationstests spezialisiert hat? Haben Sie Fragen zu Ressourcen, Tools oder Best Practices für Penetrationstests? Tenable Connect ist ein hervorragender Ort, um sich mit anderen Experten über Penetrationstests und damit zusammenhängende Themen auszutauschen.
Penetration testing for all of my Public IPs?
Wir haben den Nessus Professional Scanner erworben und müssen Penetrationstests für alle unsere öffentlichen IPs durchführen. Gibt es empfohlene Plugins oder eine Plugin-Familie, die ich auswählen sollte? Außerdem muss ich eine Schwachstellenanalyse für alle meine Anwendungen durchführen.
Vulnerability scan vs penetration testing
Wir führen regelmäßig Schwachstellenanalysen durch und ergreifen Maßnahmen gegen Schwachstellen. Wäre es eine Gegenmaßnahme, wenn ein Penetrationstest durchgeführt wird? Welche Schwachstellen oder Sicherheitsrisiken, wenn überhaupt, werden nicht durch die Schwachstellenbewertung erkannt, sondern werden erst durch einen Penetrationstest aufgedeckt?
CIS control 20: Penetration tests and red team exercises
Als abschließenden Nachweis für ein gutes Sicherheitsprogramm empfiehlt CIS Control 20 das Testen sämtlicher Sicherheitskontrollen. Diese Übungen sind sehr nützlich für Schulung und Sicherheitsbewusstsein. In vielen Fällen können Angreifer gut gemeinte Maßnahmen ausnutzen. Eine sehr strenge Passwortrichtlinie kann zum Beispiel dazu führen, dass Benutzer ihre Passwörter an ihre Tastatur kleben.
Penetration testing frequently asked questions
-
Was sind Penetrationstests?
-
Penetrationstests sind ein Prozess, der Ihnen Aufschluss darüber gibt, wie Angreifer versuchen könnten, in Ihre Angriffsoberfläche einzudringen. Pentests decken Sicherheitsschwächen auf, indem sie versuchen, so in Ihr Netzwerk einzudringen, wie es ein Hacker tun würde. Im Rahmen Ihres Schwachstellenmanagement-Programms sollten Sie kontinuierliche Schwachstellenbewertungen zur Erfassung dieser Sicherheitsmängel durchführen, damit Sie diese priorisieren und beheben können, bevor Angreifer in Ihr Netzwerk gelangen. Penetrationstests und Ihr Vulnerability Assessment-Programm gehen Hand in Hand. Penetrationstests sind eigenständige Aktivitäten, die oft von Dritten durchgeführt werden; die Tests sind eine effektive Methode zur Aufdeckung von Schwachstellen, die Ihr Unternehmen gefährden. Genau wie Schwachstellen-Scans bieten auch Penetrationstests nur eine Momentaufnahme Ihrer Risiken zu einem bestimmten Zeitpunkt. Um ein umfassendes Programm zur Schwachstellenbewertung aufzubauen, sollten Ihre Teams kontinuierlich Schwachstellenanalyse-Scans durchführen und in regelmäßigen Abständen (z. B. mindestens vierteljährlich) Pentests durchführen.
-
Wie funktioniert ein Penetrationstest?
-
Penetrationstests gehen über Schwachstellenbewertungen hinaus. Bei einem Penetrationstest versucht der Pentester ganz bewusst, ein Ziel bzw. eine Gruppe von Zielen mit Exploits anzugreifen, um nachzuweisen, dass eine Schwachstelle vorliegt. Im Allgemeinen beginnt ein Penetrationstest mit einer Planungsphase, in der Testziele umrissen und Erwartungen hinsichtlich der Tests festgelegt werden. Legen Sie in der anfänglichen Scoping-Phase fest, ob Ihr Pentester das gesamte Netzwerk untersuchen oder sich auf einen bestimmten Teilbereich konzentrieren soll. Nach Durchführung des Tests, bei dem zahlreiche Testmethoden und Tools eingesetzt werden können, legt Ihnen der Pentester einen Bericht mit den Testergebnissen zur Begutachtung vor. Mit einem Penetrationstest wird nachgewiesen, an welchen Stellen Sicherheitsprobleme vorliegen, sodass Sie Behebungsmaßnahmen planen und Ihre übergreifenden Cybersecurity-Prozesse optimieren können.
-
Welche Ziele werden mit einem Penetrationstest verfolgt?
-
Ziel eines Pentests ist es, die Existenz einer Schwachstelle (oder mehrerer Schwachstellen) innerhalb Ihrer Angriffsoberfläche nachzuweisen, damit Sie die Behebung der Schwachstellen planen können, die das größte Risiko für Ihr Unternehmen darstellen. Legen Sie in der Planungsphase für Ihre Penetrationstest Ziele und Vorgaben fest. Diese Ziele sollten sich speziell auf Ihr Unternehmen beziehen und auf Ihre Geschäfts- und Cybersecurity-Ziele abgestimmt sein.
-
Wie häufig sollten Penetrationstests durchgeführt werden?
-
Sie sollten Penetrationstests regelmäßig durchführen, zum Beispiel mindestens vierteljährlich. Penetrationstests bieten Ihnen eine Momentaufnahme Ihrer Sicherheitslage. Da sich Ihre Angriffsoberfläche ständig verändert und erweitert, tragen routinemäßige Pentests dazu bei, Ihr Cybersecurity-Programm zu verbessern und Cyberrisiken zu verringern.
-
Warum sind Penetrationstests wichtig?
-
Penetrationstests sind aus mehreren Gründen wichtig. Erstens können Sie mithilfe von Penetrationstests erkennen, ob Schwachstellen vorliegen, die Angreifer ausnutzen könnten, um sich unbefugten Zugriff auf Ihre Daten und Assets zu verschaffen. Außerdem können Penetrationstests dazu beitragen, die Einhaltung von Compliance-Standards zu gewährleisten. Beispielsweise beinhaltet PCI DSS (Payment Card Industry Data Security Standard) Vorschriften für Penetrationstests. Penetrationstests sind auch deshalb wichtig, weil sie mit ihrer Hilfe feststellen können, ob Sie geeignete Sicherheitskontrollen im Rahmen Ihres Schwachstellenmanagement-Programms einsetzen und ob diese erwartungsgemäß funktionieren.
-
Was ist der Unterschied zwischen Schwachstellenbewertung und Penetrationstest?
-
Zwischen Schwachstellenbewertungen und Penetrationstests bestehen Unterschiede, doch die beiden Prozesse ergänzen einander. Schwachstellenbewertung ist eine regelmäßige Maßnahme, die Ihnen einen Einblick in alle Sicherheitsprobleme innerhalb Ihrer Angriffsoberfläche verschafft, sodass Sie Pläne zur Priorisierung und Behebung dieser Probleme aufstellen können. Im Gegensatz dazu handelt es sich bei Penetrationstests um eigenständige Aktivitäten, die Ihnen eine Momentaufnahme Ihres Cyberrisikos zu einem bestimmten Zeitpunkt vermitteln. Pentests helfen bei der Bestimmung von Bereichen, in denen Sie Verbesserungen vornehmen können, die Ihren gesamten Vulnerability Assessment-Prozess reifen lassen.
-
Wie unterscheiden sich Penetrationstests vom Schwachstellenmanagement?
-
Penetrationstests unterscheiden sich von Schwachstellenmanagement, bilden aber eine ergänzende Komponente der übergreifenden Schwachstellenmanagement-Prozesse. Mithilfe von Penetrationstests können Sie feststellen, ob Ihre bestehenden Schwachstellenmanagement-Prozesse funktionieren, und Bereiche identifizieren, in denen möglicherweise Verbesserungsbedarf besteht. Penetrationstests sind eigenständige Aktivitäten, die Ihnen eine Momentaufnahme der Cybersecurity-Lage zu einem bestimmten Zeitpunkt bieten. Doch Schwachstellenmanagement- und Schwachstellenanalyse-Prozesse sollten fortlaufend durchgeführt werden.
-
Aus welchen Phasen bestehen Penetrationstests?
-
Penetrationstests bestehen im Allgemeinen aus fünf Phasen. Ein Penetrationstest beginnt mit einem ersten Termin, bei dem Sie festlegen, wer die Tests durchführen wird und welche Ziele und Erwartungen Sie haben. Anschließend legen Sie den Umfang des Tests fest, beispielsweise, ob das gesamte Netzwerk oder nur ein bestimmter Teil davon Gegenstand des Tests sein soll. Als Nächstes führen Sie den Test durch, prüfen dann den Ergebnisbericht und überprüfen im Anschluss die Behebungsprozesse. Denken Sie daran, bei Bedarf erneut Tests durchzuführen.
-
Gibt es unterschiedliche Ansätze für Penetrationstests?
-
Ja. Es gibt unterschiedliche Ansätze für Penetrationstests. Es werden zwei Hauptansätze unterschieden: Whitebox-Tests und Blackbox-Tests. In den meisten Fällen verfügt der externe Pentester im Whitebox-Testszenario bereits über Informationen über das anzugreifende Ziel. Anders sieht es bei Blackbox-Tests aus: Hier geben Sie keine zusätzlichen Informationen über das Angriffsziel an den Pentester weiter. Ein weiterer Unterschied: Bei Blackbox-Tests setzt der Tester Netzwerk-Sweeps ohne Zugangsdaten ein, während Whitebox-Tests in der Regel innerhalb einer durch Zugangsdaten geschützten Umgebung stattfinden. Bei einem weiteren Ansatz, den sogenannten Greybox-Tests, stellt Ihr Unternehmen dem Pentester möglicherweise partielle Informationen zu Zielen bereit. Nessus Professional ist ein ergänzendes Tool für diese Ansätze.
-
Welche Best Practices gibt es für Penetrationstests?
-
Einige Best Practices für Penetrationstests:
- Führen Sie Tests mindestens vierteljährlich durch sowie bei Bedarf, um Compliance-Anforderungen zu erfüllen.
- Legen Sie vor Durchführung jedes Penetrationstests Ziele, Vorgaben und den jeweiligen Umfang fest.
- Prüfen Sie die Ergebnisse, um Behebungsmaßnahmen zu planen.
- Führen Sie im Anschluss weitere Tests nach Bedarf durch.
- Bewahren Sie die im Rahmen von Penetrationstests aufgedeckten Nachweise auf und berücksichtigen Sie dabei die entsprechenden Gesetze und Compliance-Standards für die Aufbewahrung von Nachweisen.
-
Wie wird Schwachstellen-Scanning für Penetrationstests eingesetzt?
-
Schwachstellen-Scans sind ein wichtiger Bestandteil von Penetrationstests. Durch Schwachstellen-Scans können Sie Schwachstellen und Schwächen innerhalb Ihrer Angriffsoberfläche erfassen und im Anschluss auswählen, welche Schwachstellen im Rahmen eines Penetrationstests angegriffen werden sollen.
How vulnerability scanning and penetration testing go hand-in-hand
Penetrationstests sind Prozesse, mit deren Hilfe Sie Schwachstellen in Ihrer Angriffsoberfläche aufdecken können, bevor Angreifer sie ausnutzen. Doch wo anfangen?
Schwachstellen-Scans sind ein guter Ausgangspunkt und ein wichtiger Bestandteil Ihrer übergeordneten Prozesse für Penetrationstests. Schwachstellen-Scanning kann Ihnen dabei helfen, alle Schwachstellen in Ihrer Angriffsoberfläche aufzuspüren, damit Sie sie beheben können, bevor Angreifer sie ausnutzen und sich dadurch Zugriff auf Ihre Daten und Systeme verschaffen.
Hier einige Beispiele dafür, wie Schwachstellen-Scanning und Penetrationstests ineinandergreifen:
Während eines Penetrationstests kann der Pentester entweder Schwachstellen-Scans auf der gesamten Angriffsoberfläche durchführen oder nur einen bestimmten Teil einbeziehen, z. B. interne oder externe Netzwerke, Cloud-Umgebungen, IoT-Geräte (Internet of Things), IIoT-Geräte (Industrial Internet of Things), OT-Geräte (operative Technologie), Container oder Web-Apps.
Nessus Professional ist ein Tool zur Schwachstellenbewertung, das Sie dabei unterstützen kann, diese Schwachstellen mithilfe von Scans ausfinding zu machen. Es wird mit vorgefertigten Vorlagen geliefert, die Sie bei der Durchführung von authentifizierten und nicht-authentifizierten Schwachstellen-Scans unterstützen. Nessus Professional kann Sie bei der schnellen und unkomplizierten Durchführung von sowohl Whitebox- als auch Blackbox-Tests unterstützen.
Nessus-Vorlagen unterstützen zahlreiche Compliance-Frameworks, wie etwa CIS (Center for Internet Security), HIPAA (Health Insurance Portability and Accountability Act), DISA (Defense Information Systems Agency), STIG (Security Technical Implementation Guides) und viele weitere.
Sie können Nessus-Vorlagen auch für Ihre eigenen Tests anpassen und die Einstellungen so festlegen, dass falsch negative oder falsch positive Ergebnisse vermieden werden.
Möchten Sie mehr darüber erfahren, wie Sie Nessus im Rahmen Ihrer Penetrationstests für Schwachstellen-Scanning nutzen können?
Nessus is the gold standard for vulnerability assessment
Penetration testing blog bytes
Effektivere Penetrationstests mithilfe von Exposure Management
Bedauerlicherweise priorisieren Unternehmen oftmals den Umgang mit Compliance-Anforderungen und -Problemen gegenüber der Entwicklung proaktiver und präventiver Sicherheitsansätze wie Schwachstellen-Scans und Penetrationstests. Wenn dies auch die Vorgehensweise Ihres Unternehmens ist, werden Sie Ihre Cyberrisiken möglicherweise nie vollständig in den Griff bekommen, vor allem weil Angreifer fortwährend nach Schwachstellen in Ihrem System suchen. Erfahren Sie mehr darüber, wie Sie Best Practices für das Exposure-Management auf Ihre Penetrationstests anwenden können, um diese effektiver zu gestalten.
Discover the most valuable cyber skills, key cloud security trends and cyber’s big business impact
Obwohl es nach wie vor einen Mangel an qualifizierten Fachkräften für Cybersecurity gibt, ist es gut zu wissen, dass diese Qualifikationen weiterhin sehr gefragt sind. Wenn Sie sich die Daten von Foote Partners über den Marktwert von technischen Fähigkeiten genauer ansehen, werden diejenigen, die sich für eine Berufslaufbahn als Pentester interessieren, erfreut feststellen, dass der durchschnittliche Gehaltsaufschlag für Kompetenzen als Penetrationsexperte 17 % des Grundgehalts beträgt und der Marktwert um mehr als 21 % steigt. Lesen Sie weiter, um mehr darüber zu erfahren, welchen Wert Penetrationstests in diesem sich verändernden Markt haben.
Tenable Nessus expands attack surface coverage with web app scanning
Unsichere Webanwendungen können zu Datenpannen mit verheerenden Folgen führen. Doch wie Penetrationstester nur zu gut wissen, ist es schwierig, mit all den neuesten Sicherheitslücken und anderen potenziellen Angriffsmethoden Schritt zu halten. Zu lange schon haben Tester versucht, mit verschiedenen Tools so viele potenzielle Probleme auf einer Angriffsoberfläche abzudecken, wie sie konnten. Lesen Sie mehr darüber, wie eine einheitliche Lösung Pentestern helfen kann, ein umfassenderes Bild zu erhalten und die Probleme zu überwinden, die häufig durch isolierte Lösungen verursacht werden.
Maximize your penetration tests with Tenable
Penetrationstests und Schwachstellenanalysen sind die perfekte Kombination, um Ihre Cybersecurity-Verfahren zu verbessern, denn beide Prozesse suchen nach Schwachpunkten in Ihrer Angriffsoberfläche. Während automatisierte Schwachstellenanalysen Ihnen helfen, einige der gängigsten Sicherheitsprobleme schnell zu identifizieren, dürfen Sie den Mehrwert der Fähigkeiten und der Kreativität eines Pentesters nicht außer Acht lassen, der in der Lage ist, wie ein Angreifer zu denken und dessen Schritte nachzuahmen, um sich Zugang zu Ihrer Umgebung zu verschaffen.
Focus on active scanning
Aktives Scannen, eine Kernkomponente von Nessus Professional und Teil der Tenable One-Plattform, ist eine hervorragende Möglichkeit, Ihre bisherigen Pentest-Verfahren zu ergänzen. Wenn Sie beispielsweise nach einer Schwachstelle in einer Website suchen, können Sie einen Web-App-Scanner einsetzen, um herauszufinden, in welcher Weise Ihre Anwendungen mit Internetanbindung für Angriffe anfällig sind. Sobald Sie dies herausgefunden haben, können Sie Ihre Pentest-Fähigkeiten einsetzen, um diese Probleme eingehender zu untersuchen.
Save time
Mit automatisierten Schwachstellen-Scans können Sie schnell die Bereiche identifizieren, auf die Sie Ihre Pentest-Aktivitäten fokussieren sollten. Wenn Sie beispielsweise einen Scan durchführen und feststellen, dass das Apache-Framework eines Kunden ein Sicherheitsproblem aufweist, können Sie gezielt aufzeigen, wie ein Angreifer dieses Problem ausnutzen könnte, und dann eine Lösung zur Problembehebung anbieten.
Conduct offline assessments
Zwar sind Assets mit Internet-Anbindung häufig besonders durch potenzielle Angriffe bedroht, aber auch Ihre Offline-Assets sind gefährdet. Mit Unterstützung von Nessus Professional Live Results können Sie beispielsweise im Rahmen Ihrer Penetrationstests jedes Mal, wenn ein Plugin aktualisiert wird, Offline-Schwachstellenbewertungen durchführen. Wenn etwas Verdächtiges auftaucht, erhalten Sie eine Warnung und können Ihre Pentest-Schritte entsprechend ausrichten.
Nein. 1 In accuracy
Mit seiner Six-Sigma-Genauigkeit (0,32 Defekte pro 1 Million Scans) kann Nessus die branchenweit niedrigste False-Positive-Rate vorweisen.
Nein. 1 in coverage
Nessus bietet mehr als 140.000 Plugins für über 50.000 bekannte CVEs (Common Vulnerabilities and Exposures) Tenable veröffentlicht jede Woche über 100 neue Plugins, die im Falle von High-Profile-Schwachstellen innerhalb von 24 Stunden nach Bekanntwerden bereitgestellt werden.
Nein. 1 in adoption
Zehntausende von Unternehmen weltweit vertrauen auf Nessus. Die Lösung wurde bereits über zwei Millionen Mal heruntergeladen und wird von 65 % der Fortune 500-Unternehmen eingesetzt.
Try Nessus for free
Use Nessus to get more visibility into your attack surface, including all your assets and vulnerabilities, and improve your penetration testing processes.
Tenable One
Demo anfordern
Die weltweit führende KI-gestützte Plattform für Exposure Management
Vielen Dank
Vielen Dank für Ihr Interesse an Tenable One.
Ein Vertriebsmitarbeiter wird sich in Kürze mit Ihnen in Verbindung setzen.
Form ID: 7469
Form Name: one-eval
Form Class: c-form form-panel__global-form c-form--mkto js-mkto-no-css js-form-hanging-label c-form--hide-comments
Form Wrapper ID: one-eval-form-wrapper
Confirmation Class: one-eval-confirmform-modal
Simulate Success