Penetration Testing Execution Standard (PTES)

Übersicht und Einordnung aus praktischer Pentest-Perspektive

Der Penetration Testing Execution Standard (PTES) beschreibt eine strukturierte Methodik für die Durchführung von Penetrationstests. Der Standard definiert typische Projektphasen von der Vorbereitung über die technische Analyse bis zur Dokumentation der Ergebnisse. Der PTES wird zwar häufig als Standard für den Ablauf eines Penetrationstests referenziert, ist in der Praxis jedoch selten die alleinige methodische Grundlage. Der Standard entstand ursprünglich um 2010 und wurde seitdem nur begrenzt weiterentwickelt.

Zudem beschreibt PTES den Ablauf eines Penetrationstests bewusst auf einer konzeptionellen Ebene. Die einzelnen Phasen definieren den methodischen Rahmen, enthalten jedoch nur begrenzte technische Detailtiefe für konkrete Prüfungen. Zudem sind Teile der technischen Beschreibung inzwischen veraltet. So werden beispielsweise Windows XP und Windows 7 als Referenzsysteme für Windows-spezifische Werkzeuge genannt. In der praktischen Durchführung werden deshalb zusätzliche technische Leitfäden, projektspezifische Methoden sowie die Erfahrung der Penetrationstester ergänzt.

Die Bekanntheit von PTES in der Branche hängt auch damit zusammen, dass die Projektseite pentest-standard.org seit vielen Jahren ein sehr gutes Ranking in Suchmaschinen erreicht. Dadurch wird PTES häufig als Referenz wahrgenommen, auch wenn viele Pentest-Teams in der praktischen Durchführung stärker auf andere technische Leitfäden und eigene Methodiken zurückgreifen.

Die Durchführungsmethodik der binsec berücksichtigt alle im PTES beschriebenen sinnvollen Projektphasen und Aspekte. Gleichzeitig ist unsere interne Methodik deutlich umfassender. Sie basiert auf einer über viele Jahre entwickelten Prüfmethodik, die moderne IT-Architekturen, aktuelle Angriffstechniken und praktische Projekterfahrung aus unterschiedlichen Infrastruktur- und Anwendungsszenarien berücksichtigt.

PTES unterteilt einen Penetrationstest in mehrere aufeinander aufbauende Projektphasen.

• Pre-Engagement Interactions
  Zu Beginn eines Projekts werden Zielsetzung, Scope und organisatorische Rahmenbedingungen definiert. Dazu gehören die Abstimmung der Testmethodik, Kommunikationswege während des Tests sowie mögliche Einschränkungen oder besonders kritische Systeme. Ziel dieser Phase ist eine klare und nachvollziehbare Definition des Prüfauftrags.

• Intelligence Gathering
  In dieser Phase erfolgt die strukturierte Informationsgewinnung über die Zielumgebung. Dazu gehören öffentlich verfügbare Informationen, technische Metadaten, Domains, Netzwerkbereiche oder eingesetzte Technologien. Diese Informationen bilden die Grundlage für die weitere Analyse.

• Threat Modeling
  Auf Basis der gewonnenen Informationen werden realistische Angriffsszenarien bewertet. Dabei werden potenzielle Einstiegspunkte, mögliche Angriffspfade und besonders kritische Systeme identifiziert. Ziel ist es, die technische Analyse auf relevante Angriffsszenarien zu fokussieren.

• Vulnerability Analysis
  Hier werden mögliche Schwachstellen identifiziert. Prüfwerkzeuge können unterstützend eingesetzt werden. Die eigentliche Analyse, Verifikation und Bewertung der Schwachstellen erfolgt strukturiert und manuell.

• Exploitation
  Identifizierte Schwachstellen werden kontrolliert ausgenutzt, um ihre praktische Sicherheitswirkung nachzuweisen. Ziel ist der technisch nachvollziehbare Nachweis des tatsächlichen Risikos.

• Post-Exploitation
  Nach einer erfolgreichen Kompromittierung wird untersucht, welche weiteren Auswirkungen möglich sind. Dazu gehören beispielsweise Privilege Escalation, laterale Bewegungen innerhalb eines Netzwerks oder der Zugriff auf sensible Daten.

• Reporting
  Die Ergebnisse des Penetrationstests werden strukturiert dokumentiert. Der Bericht beschreibt identifizierte Schwachstellen, deren technische Ursachen, die praktische Ausnutzbarkeit sowie mögliche Auswirkungen auf die Organisation. Ergänzend werden konkrete Empfehlungen zur Behebung der identifizierten Sicherheitsprobleme gegeben.

PTES definiert damit vor allem den methodischen Rahmen eines Penetrationstests. Die tatsächliche Qualität eines Tests entsteht jedoch durch die technische Tiefe der Analyse, die Erfahrung der Tester und eine strukturierte manuelle Prüfung der Zielsysteme.