Penetrationstests - Sanierung

Penetrationstestbemühungen - so gründlich sie auch sein mögen - können nicht immer eine umfassende Entdeckung aller Fälle gewährleisten, in denen die Wirksamkeit einer Sicherheitskontrolle unzureichend ist. Das Erkennen einer Sicherheitsanfälligkeit oder eines Risikos für Cross-Site-Skripte in einem Bereich einer Anwendung kann möglicherweise nicht alle in der Anwendung vorhandenen Instanzen dieser Sicherheitsanfälligkeit aufdecken. Dieses Kapitel veranschaulicht das Konzept und den Nutzen der Sanierung.

Was ist Sanierung?

Die Korrektur ist ein Akt der Verbesserung, um einen Fehler zu ersetzen und zu korrigieren. Häufig weist das Vorhandensein einer Sicherheitsanfälligkeit in einem Bereich auf eine Schwäche der Prozess- oder Entwicklungspraktiken hin, die eine ähnliche Sicherheitsanfälligkeit an anderen Standorten repliziert oder aktiviert haben könnte. Daher ist es für den Tester während der Korrektur wichtig, die getestete Entität oder Anwendung unter Berücksichtigung ineffektiver Sicherheitskontrollen sorgfältig zu untersuchen.

Aus diesen Gründen sollte das jeweilige Unternehmen innerhalb eines angemessenen Zeitraums nach dem ursprünglichen Penetrationstest Maßnahmen ergreifen, um ausnutzbare Sicherheitslücken zu schließen. Sobald das Unternehmen diese Schritte abgeschlossen hat, sollte der Pen-Tester einen erneuten Test durchführen, um die neu implementierten Kontrollen zu validieren, mit denen das ursprüngliche Risiko gemindert werden kann.

Die Korrekturbemühungen, die sich über einen längeren Zeitraum nach dem ersten Pen-Test erstrecken, erfordern möglicherweise die Durchführung eines neuen Testauftrags, um genaue Ergebnisse der aktuellsten Umgebung sicherzustellen. Diese Feststellung sollte nach einer Risikoanalyse getroffen werden, wie viel sich seit Abschluss des ursprünglichen Tests geändert hat.

Darüber hinaus kann das gekennzeichnete Sicherheitsproblem unter bestimmten Bedingungen einen grundlegenden Fehler in der jeweiligen Umgebung oder Anwendung darstellen. Daher sollte im Rahmen eines erneuten Tests geprüft werden, ob Änderungen, die durch die aus dem Test ermittelte Sanierung verursacht wurden, als signifikant eingestuft werden. Alle Änderungen sollten erneut getestet werden. Ob jedoch ein erneuter Test des gesamten Systems erforderlich ist oder nicht, wird durch die Risikobewertung der Änderungen bestimmt.