Pentest von Außen
Die binsec GmbH führt externe Penetrationstests bzw externe Pentests über das Internet durch, um Angriffsflächen und Sicherheitslücken in öffentlich erreichbaren Systemen, Diensten und Schnittstellen zu identifizieren und zu bewerten. Ein externer Penetrationstest simuliert die Perspektive eines Angreifers, der über das Internet versucht, in Ihre Infrastruktur einzudringen, zum Beispiel über Webanwendungen, APIs oder schwache Passwörter.
Die Durchführung externer Penetrationstests orientiert sich an etablierten Standards und folgt einer strukturierten Methodik, die sich in mehrere aufeinander aufbauende Phasen gliedert.
Im Folgenden finden Sie die typischen Testphasen externer Penetrationstests, die wir je nach Kundenanforderung und vereinbartem Prüfumfang durchführen.
externer Pentest: Reconnaissance & OSINT (Identifikation der Angriffsfläche)
- Auswertung öffentlich zugänglicher Daten, z. B. Domains, Subdomains, DNS-Einträge und Zertifikate
- Identifikation externer IP-Adressbereiche und erreichbarer Systeme, insbesondere in Black-Box-Szenarien ohne vorgegebene Zielsysteme
- Analyse öffentlich verfügbarer Informationen und möglicher Datenlecks
externer Pentest: Scanning & Enumeration
- Identifikation erreichbarer Dienste anhand offener Ports über TCP und UDP
- Erkennung von Diensten, z. B. Webanwendungen, VPN-Gateways oder Mailservern, einschließlich Versionen und eingesetzter Technologien
- Analyse von Schnittstellen, Endpunkten und Authentifizierungsmechanismen
externer Pentest: Prüfung auf Sicherheitslücken (Vulnerability Assessment)
- Überprüfung der Patchstände und eingesetzten Softwareversionen auf Aktualität
- Analyse von Zugangsbeschränkungen und Authentifizierungsmechanismen
- Identifikation von Fehlkonfigurationen und Abweichungen von Security Best Practices
externer Pentest: Exploitation & Proof-of-Concept (sofern zutreffend)
- Entwicklung von Proof-of-Concepts zur Ausnutzung identifizierter Schwachstellen
- Validierung der tatsächlichen Ausnutzbarkeit im definierten Prüfumfang
externer Pentest: Post-Exploitation / Privilege Escalation (sofern zutreffend)
- Untersuchung möglicher Rechteausweitung
- Analyse von Seitwärtsbewegungen innerhalb der Infrastruktur
- Bewertung möglicher weiterführender Angriffsvektoren, z. B. Datenzugriff
Social Engineering / Phishing (optional)
Die Durchführung von Social Engineering oder Phishing erfolgt ausschließlich, wenn diese Dienstleistungen ausdrücklich in Auftrag gegeben werden.
- Durchführung simulierter Phishing-Kampagnen zur Überprüfung der Sensibilisierung von Mitarbeitenden
- Analyse von Reaktionsverhalten und möglicher Preisgabe von Zugangsdaten
- Bewertung organisatorischer und technischer Schutzmaßnahmen gegen Social-Engineering-Angriffe
Beispiel Pentestbericht
Unsere Leistung in Kurzfassung:
Durchführung von Penetrationstest (Pentest)
Seit 2013 führt unser zertifiziertes Team Pentest für IT-Infrastrukturen, Webanwendungen, Mobile APP (iOS/Android) und anderen Zielen jeweils mit Hilfe einer strukturierten Vorgehensweise durch, die auf allen relevanten Standards basiert. Als Anbieter für professionelle Pentest legen wir die Bewertung der Schwachstellen anhand des dazugehörigen Business-Risikos fest und erstellen einen Bericht, der eine Zusammenfassung für den IT-Manager sowie die technischen Details zu den identifizierten Schwachstellen enthält. Nachdem Sie die Schwachstellen behoben haben, führen wir in der Regel ohne zusätzliche Kosten einen Nachtest durch.
Kontaktieren Sie unsMehr als 10 Jahre praktische Erfahrung im Bereich Penetration Testing
Keine Subunternehmer oder externen Freelancer
Direkter Kontakt zum verantwortlichen Senior Penetration Tester
Strukturierte, dokumentierte und reproduzierbare Testmethodik auf Basis von PTDoc
Vollständig kontrollierte, eigene Pentesting-Infrastruktur, keine Cloud-Nutzung
Identifizierung technischer und geschäftsrelevanter Sicherheitsrisiken
Risikogewichtete Bewertung von Schwachstellen oder CVSS Bewertung
Bericht mit Management-Übersicht und technischem Detailteil
Nachprüfung der identifizierten Schwachstellen inkludiert
Unsere Leistung in Kurzfassung:
Durchführung von Penetrationstest (Pentest)
Seit 2013 führt unser zertifiziertes Team Pentest für IT-Infrastrukturen, Webanwendungen, Mobile APP (iOS/Android) und anderen Zielen jeweils mit Hilfe einer strukturierten Vorgehensweise durch, die auf allen relevanten Standards basiert. Als Anbieter für professionelle Pentest legen wir die Bewertung der Schwachstellen anhand des dazugehörigen Business-Risikos fest und erstellen einen Bericht, der eine Zusammenfassung für den IT-Manager sowie die technischen Details zu den identifizierten Schwachstellen enthält. Nachdem Sie die Schwachstellen behoben haben, führen wir in der Regel ohne zusätzliche Kosten einen Nachtest durch.
Kontaktieren Sie unsMehr als 10 Jahre praktische Erfahrung im Bereich Penetration Testing
Keine Subunternehmer oder externen Freelancer
Direkter Kontakt zum verantwortlichen Senior Penetration Tester
Strukturierte, dokumentierte und reproduzierbare Testmethodik auf Basis von PTDoc
Vollständig kontrollierte, eigene Pentesting-Infrastruktur, keine Cloud-Nutzung
Identifizierung technischer und geschäftsrelevanter Sicherheitsrisiken
Risikogewichtete Bewertung von Schwachstellen oder CVSS Bewertung
Bericht mit Management-Übersicht und technischem Detailteil
Nachprüfung der identifizierten Schwachstellen inkludiert
Pentest-Vorgehensweise
Ein Penetrationstest ist ein strukturiert durchgeführter Angriff auf IT-Systeme oder IT-Anwendungen, um mögliche Schwachstellen zu identifizieren. Dabei werden die gleichen Werkzeuge und Techniken eingesetzt, die auch reale Angreifer anwenden um in Systeme einzubrechen. Somit ist ein Penetrationstest kein automatischer Schwachstellen-Scan. Im Gegenteil, ein Penetrationstest als Dienstleistung ist immer eine Kombination aus der Anwendung von Security-Tools und der Durchführung manueller Tests, die der Aufdeckung von Schwachstellen dienen. Während ein realer Angreifer nur eine einzige Schwachstelle finden und ausnutzen muss, wird ein Penetrationstester alle relevanten Angriffsvektoren prüfen.
Eine strukturierte Vorgehensweise ist einer der wichtigsten Erfolgsfaktoren als Pentest-Dienstleister, um dies erreichen zu können. Das ist auch relevant bei der Durchführung von einem Externer Pentest. Unsere Vorgehensweise basiert auf allen relevanten Standards und Veröffentlichungen.
Angebot für Externer Pentest
Die Durchführung eines Penetrationstest ist immer ein Kompromiss aus Aufwand und Kosten, für die Darstellung eines angemessenen Preises. Erfolgreiche Pentest zeigen eine gute Balance zwischen diesen Eigenschaften, um die Prüfung aller relevanten Angriffe und Angriffsvektoren leisten zu können. Die Kosten für einen solchen Test sind immer abhängig vom eingesetzten Zeitaufwand des Penetrationstesters sowie von der Größe und Komplexität des IT-Systems bzw. der Webanwendungen. Während ein Penetrationstest für eine kleine Webanwendung wenige Tage dauert, kann ein Penetrationstest für große Netzwerke schon einmal mehrere Wochen in Anspruch nehmen.
Für ein Pentest-Angebot benötigen wir vorab Informationen über die zu untersuchenden Systeme und Anwendungen. Es ist notwendig, dass wir uns vom Ziel einen ersten Eindruck verschaffen. Bei Webanwendungen sind zum Beispiel Testzugänge hilfreich. Jede zusätzliche weitere Information, z.B. über verwendete Frameworks, wird uns dabei helfen, Ihnen das für Sie passende Angebot zu unterbreiten. Wünschen Sie einen Penetrationstest für ein IT-System, benötigen wir vorab die entsprechenden Netzwerkadressen. In diesem Fall werden wir zunächst einen nichtinvasiven Netzwerkscan durchführen, um uns ein erstes Bild von Ihrem Netzwerk zu machen. Nach unserer Aufwandsschätzung erhalten Sie ein detailliertes Angebot.
binsec GmbH ist ein deutsches Pentest Unternehmen für professionelle Penetrationstests. Kontaktieren Sie uns für Ihr Externer Pentest-Angebot - veranlassen Sie Ihren Pentest noch heute!
Kontaktieren Sie uns
Pentesting
für bestimmte Standards und Anforderungen
Weltweit gibt es zahlreiche Normen oder gesetzliche Vorgaben, die die Durchführung eines Penetrationstests vorschreiben.
binsec GmbH für professionelle Penetrationstest
Externer
Pentest
Die binsec GmbH ist das deutsche Unternehmen für professionelles Penetration Testing für Ihren Externer Pentest. Erhalten Sie ein Pentest Angebot ohne typischen Verkaufsunsinn. Reden Sie mit Experten anstelle von Pre-Sales-Beratern. Better pentesting. No nonsense. Als professioneller Penetration Test Anbieter machen wir einiges anders als andere Firmen: Als Dienstleister für Penetration Testing verkaufen wir automatisierte Schwachstellenscans nicht als Pentest. Wir betrachten auch geschäftliche Sicherheitsrisiken. Sie suchen ein Unternehmen für einen professionell durchgeführten Penetrationstest? Nehmen Sie das Team der binsec für Ihren Externer Pentest!
Kontaktieren Sie uns
Häufig gestellte Fragen
Die Antwort auf diese Frage lässt sich schwer pauschalisieren, da das eingesetzte Toolset grundsätzlich vom jeweiligen Prüfobjekt abhängt. So setzen wir selbstverständlich Tools wie nmap bei der Überprüfung von IT-Infrastrukturen oder die Burp Suite Professional im Fall von Webanwendungen ein.
Jedoch sind wir der Meinung, dass die Veröffentlichung einer Tool-Liste reine Augenwischerei ist, da jedes Zielsystem individuell betrachtet werden sollte. Sie können uns aber gerne am Ende der Durchführung nach den eingesetzten Tools fragen.
Das Hosten einer kritischen Geschäftsanwendung bei einem Cloud-Anbieter wie Amazon AWS, Microsoft Azure, Google Cloud oder Hetzner Cloud ist immer verbreiteter.
Selbstverständlich führen wir Penetrationstests für Anwendungen durch, die in der Cloud betrieben werden. Dies gilt auch für Penetrationstests von IT-Infrastrukturen in der Cloud, sofern die virtuellen Maschinen nicht vom Cloud-Anbieter selbst verwaltet werden.
Wir führen Penetrationstests für praktisch jede IT-Umgebung, jedes IT-System, jede Anwendung oder jedes Netzwerk durch – bis hin zu Protokoll-Fuzzing. Lediglich die Analyse von Hardwarechips unter dem Mikroskop überlassen wir anderen.
Typische Prüfobjekte unserer Penetrationstests sind unter anderem:
Webanwendungen und APIs
Mobile Anwendungen
Server, Plattformen und Infrastruktur
- Webserver Penetrationstest
- Netzwerk Penetrationstest
- Firewall Penetrationstest
- WiFi / WLAN Penetrationstest
- Active Directory (AD) Penetrationstest
- RDP Server / Remote Desktop Penetrationstest
- OT Pentesting
Container und DevOps
Identität und Authentifizierung
+49 692475607-0