Black-Box Penetrationstest

Vorteile und Nachteile vom Black-Box-Ansatz

Ein Blackbox Pentest ist ein Penetrationstest, bei dem der Pentester keine Information oder Details im voraus über das zu testende Netz enthält. Die Informationsbasis ist beim Blackbox Pentest vergleichbar mit der Informationsbasis, die ein externer Angreifer besitzt - nämlich nahezu keine, außer dem Namen seines Ziels. In den meisten Fällen raten wir von einem Blackbox Pentest ab, denn er ist aus der Aufwands-Nutzen-Sicht ineffizient. Der einzige sinnvolle Anwendungsfall für einen Blackbox Pentest ist es, wenn man als Auftraggeber explizit wissen will, wie weit ein Angreifer in zum Beispiel 5-10 Tagen kommen würde und welche Informationen er dabei findet. Konzeptionell kann bei einem Blackbox Pentest aber keine strukturierte Prüfung der gesamten Angriffsoberfläche durchgeführt werden. Effizienter ist die Durchführung von einem Grey-Box-Pentest.

Unsere Leistung in Kurzfassung: Durchführung von Penetrationstest (Pentest)

Seit 2013 führt unser zertifiziertes Team Pentest für IT-Infrastrukturen, Web-Anwendungen und mobile Apps (iOS sowie Android) mit Hilfe einer strukturierten Vorgehensweise durch, die auf allen relevanten Standards basiert. Als Anbieter für professionelle Pentest legen wir die Bewertung der Schwachstellen anhand des dazugehörigen Business-Risikos fest und erstellen einen Bericht, der eine Zusammenfassung für den IT-Manager sowie die technischen Details zu den identifizierten Schwachstellen enthält. Nachdem Sie die Schwachstellen behoben haben, führen wir in der Regel ohne zusätzliche Kosten einen Nachtest durch.

  • ✔ Strukturierter Ansatz
  • ✔ Zertifizierungen: OSCP, OSCE, BACPP
  • ✔ Identifizierung von technischen und geschäftlichen Sicherheitsrisiken
  • ✔ Risikogewichtete Schwachstellen-Bewertung oder nach CVSS
  • Bericht enthält Manamagement-Übersicht und technischen Teil
  • ✔ Nachprüfung inkludiert

Pentest-Vorgehensweise

Ein Penetrationstest ist ein strukturiert durchgeführter Angriff auf IT-Systeme oder IT-Anwendungen, um mögliche Schwachstellen zu identifizieren. Dabei werden die gleichen Werkzeuge und Techniken eingesetzt, die auch reale Angreifer anwenden um in Systeme einzubrechen. Somit ist ein Penetrationstest kein automatischer Schwachstellen-Scan. Im Gegenteil, ein Penetrationstest als Dienstleistung ist immer eine Kombination aus der Anwendung von Security-Tools und der Durchführung manueller Tests, die der Aufdeckung von Schwachstellen dienen. Während ein realer Angreifer nur eine einzige Schwachstelle finden und ausnutzen muss, wird ein Penetrationstester alle relevanten Angriffsvektoren prüfen.

Eine strukturierte Vorgehensweise ist einer der wichtigsten Erfolgsfaktoren als Pentest-Dienstleister, um dies erreichen zu können. Das ist auch relevant bei der Durchführung von einem Blackbox Pentest. Unsere Vorgehensweise basiert auf allen relevanten Standards und Veröffentlichungen.

Angebot für Blackbox Pentest

Die Durchführung eines Penetrationstest ist immer ein Kompromiss aus Aufwand und Kosten, für die Darstellung eines angemessenen Preises. Erfolgreiche Pentest zeigen eine gute Balance zwischen diesen Eigenschaften, um die Prüfung aller relevanten Angriffe und Angriffsvektoren leisten zu können. Die Kosten für einen solchen Test sind immer abhängig vom eingesetzten Zeitaufwand des Penetrationstesters sowie von der Größe und Komplexität des IT-Systems bzw. der Webanwendungen. Während ein Penetrationstest für eine kleine Webanwendung wenige Tage dauert, kann ein Penetrationstest für große Netzwerke schon einmal mehrere Wochen in Anspruch nehmen.

Für ein Pentest-Angebot benötigen wir vorab Informationen über die zu untersuchenden Systeme und Anwendungen. Es ist notwendig, dass wir uns vom Ziel einen ersten Eindruck verschaffen. Bei Webanwendungen sind zum Beispiel Testzugänge hilfreich. Jede zusätzliche weitere Information, z.B. über verwendete Frameworks, wird uns dabei helfen, Ihnen das für Sie passende Angebot zu unterbreiten. Wünschen Sie einen Penetrationstest für ein IT-System, benötigen wir vorab die entsprechenden Netzwerkadressen. In diesem Fall werden wir zunächst einen nichtinvasiven Netzwerkscan durchführen, um uns ein erstes Bild von Ihrem Netzwerk zu machen. Nach unserer Aufwandsschätzung erhalten Sie ein detailliertes Angebot.

binsec GmbH ist Ihr deutscher Security-Dienstleister für Penetrationstest. Kontaktieren Sie uns für Ihr Blackbox Pentest-Angebot - beauftragen Sie Ihren Pentest noch heute!

binsec GmbH für professionelle Penetrationstest: Blackbox Pentest

Die binsec GmbH ist Ihr Pentest Unternehmen für Ihren Blackbox Pentest. Erhalten und beauftragen Sie ein Pentest Angebot ohne typischen Verkaufsunsinn. Reden Sie mit Experten anstelle von Pre-Sales-Beratern. Better pentesting. No nonsense. Als professioneller Anbieter für Penetrationstest machen wir einiges anders als andere Firmen: Als Dienstleister für Penetration Testing verkaufen wir automatisierte Schwachstellenscans nicht als Pentest. Wir betrachten auch geschäftliche Sicherheitsrisiken. Sie suchen ein Unternehmen für einen professionell durchgeführten Penetrationstest? Nehmen Sie das Team der binsec für Ihren Blackbox Pentest Pentest!

FAQ über unsere Pentest-Dienstleistung

Ja, natürlich. Bitte kontaktieren Sie uns für ein Pentest-Angebot und einen Pentest-Beispielbericht.

Die Antwort auf diese Frage lässt sich schwer pauschalisieren, da das eingesetzte Toolset grundsätzlich vom jeweiligen Prüfobjekt abhängt. So setzen wir selbstverständlich Tools wie nmap bei der Überprüfung von IT-Infrastrukturen oder die Burp Suite Professional im Fall von Webanwendungen ein.

Jedoch sind wir der Meinung, dass die Veröffentlichung einer Tool-Liste reine Augenwischerei ist, da jedes Zielsystem individuell betrachtet werden sollte. Sie können uns aber gerne am Ende der Durchführung nach den eingesetzten Tools fragen.

Wenn Sie Schwachstellen innerhalb einer angemessenen Zeit beheben, prüfen wir gerne kostenlos nach.
Das Hosten einer kritischen Geschäftsanwendung bei einem Cloud-Anbieter wie Amazon AWS, Microsoft Azure oder Hetzner Cloud ist immer verbreiteter. Selbstverständlich führen wir Penetrationstest für Anwendungen durch, die in der Cloud betrieben werden. Dies gilt auch für Penetrationstest von IT-Infrastrukturen in der Cloud, sofern die virtuellen Maschinen nicht vom Cloud-Anbieter selbst verwaltet werden.
Es gibt drei verschiedene Pentest-Ansätze, die sich darin unterscheiden wie viele Informationen ein Pentester vor dem eigentlich Test erhält: Black-Box-Pentest, Grey-Box-Pentest und White-Box Pentest. Wir empfehlen in der Regel einen Greybox Pentest. Er hat das beste Kosten-Nutzen-Verhältnis, wenn Sie Ihre komplette Angriffsfläche testen lassen möchten.
Natürlich, unsere Pentest-Leistungen umfassen auch Offensive Security und Red Teaming. Im Grunde sind diese eine Unterkategorie von Pentesting mit einem sehr starken Fokus auf unstrukturiertes Ethical Hacking.
Wir können jedes Unternehmen, jedes IT-System, jede Anwendung oder jedes Netzwerk pentesten, bis hin zum Protokoll-Fuzzing. Nur die Analyse von Hardware-Chips unter dem Mikroskop überlassen wir anderen. Wir testen zum Beispiel: