Penetrationstests - Tester
Es geht darum, die wichtigsten Daten der Organisation zu schützen. Daher ist die Rolle eines Penetrationstesters sehr kritisch. Ein kleiner Fehler kann beide Parteien (Tester und seinen Kunden) gefährden.
In diesem Kapitel werden daher verschiedene Aspekte eines Penetrationstesters erläutert, einschließlich seiner Qualifikation, Erfahrung und Verantwortlichkeiten.
Qualifikation von Penetrationstestern
Dieser Test kann nur von einem qualifizierten Penetrationstester durchgeführt werden. Daher ist die Qualifikation eines Penetrationstesters sehr wichtig.
Entweder ein qualifizierter interner Experte oder ein qualifizierter externer Experte kann den Penetrationstest durchführen, bis sie organisatorisch unabhängig sind. Dies bedeutet, dass der Penetrationstester organisatorisch unabhängig von der Verwaltung der Zielsysteme sein muss. Wenn beispielsweise ein Drittunternehmen an der Installation, Wartung oder dem Support von Zielsystemen beteiligt ist, kann dieses Unternehmen keine Penetrationstests durchführen.
Hier sind einige Richtlinien, die Ihnen beim Anrufen eines Penetrationstesters helfen.
Zertifizierung
Eine zertifizierte Person kann Penetrationstests durchführen. Die vom Tester gehaltene Zertifizierung ist ein Hinweis auf seine Fähigkeiten und die Kompetenz eines fähigen Penetrationstesters.
Im Folgenden finden Sie wichtige Beispiele für die Zertifizierung von Penetrationstests:
Zertifizierter ethischer Hacker (CEH).
Offensive Security Certified Professional (OSCP).
CREST Penetration Testing-Zertifizierungen.
Zertifizierung des IT Health Check Service der Communication Electronic Security Group (CESG).
GIAC-Zertifizierungen (Global Information Assurance Certification), z. B. GPEN (GIAC Certified Penetration Tester), GWAPT (GIAC Web Application Penetration Tester), GXPN (Advance Penetration Tester) und GIAC Exploit Researcher.
Vergangene Erfahrung
Die folgenden Fragen helfen Ihnen bei der Einstellung eines effektiven Penetrationstesters:
Wie viele Jahre Erfahrung hat der Penetrationstester?
Ist er ein unabhängiger Penetrationstester oder arbeitet er für eine Organisation?
Mit wie vielen Unternehmen arbeitete er als Penetrationstester?
Hat er Penetrationstests für eine Organisation durchgeführt, die eine ähnliche Größe und einen ähnlichen Umfang wie Ihre hat?
Welche Erfahrung hat der Penetrationstester? Zum Beispiel Durchführen von Netzwerkschicht-Penetrationstests usw.
Sie können auch andere Kunden, für die er gearbeitet hat, um die Referenz bitten.
Bei der Einstellung eines Penetrationstesters ist es wichtig, die Testerfahrung der Organisation, für die er (Tester) im vergangenen Jahr gearbeitet hat, zu bewerten, da sie sich auf die von ihm speziell in der Zielumgebung eingesetzten Technologien bezieht.
Darüber hinaus wird für komplexe Situationen und typische Kundenanforderungen empfohlen, die Fähigkeit eines Testers zu bewerten, mit einer ähnlichen Umgebung in seinem früheren Projekt umzugehen.
Rolle eines Penetrationstesters
Ein Penetrationstester hat folgende Rollen:
Identifizieren Sie eine ineffiziente Zuordnung von Tools und Technologie.
Testen über interne Sicherheitssysteme hinweg.
Präzise Belichtung zum Schutz der kritischsten Daten.
Entdecken Sie wertvolles Wissen über Schwachstellen und Risiken in der gesamten Infrastruktur.
Berichterstattung und Priorisierung von Korrekturempfehlungen, um sicherzustellen, dass das Sicherheitsteam seine Zeit optimal nutzt und gleichzeitig die größten Sicherheitslücken schützt.