Sicherheits-Vorsorge: wie wichtig sind Security-Checks?

Wissen Sie, ob Ihre Unternehmens-IT vor Cyber-Attacken sicher ist? Haben Sie schon einmal aus der Perspektive eines Hackers versucht, in Ihr Unternehmen einzudringen? Kennen Sie Ihr IT-Risikopotenzial? Viele (besonders mittelständische) Firmen beantworten die Fragen mit „nein“ und gehen somit recht sorglos mit ihrer IT-Sicherheit um.

Bis ein Vorfall entsteht und dieser möglicherweise das gesamte Unternehmen lahmlegt – von den entstehenden Kosten und dem drohenden Imageverlust ganz zu schweigen. Doch Sie können auch alle Fragen mit „ja“ beantworten und bestmöglich gerüstet sein…

Was ist ein Penetrationstest?

Damit die IT-Landschaft Ihres Unternehmens ausreichend geschützt ist, sind stetige Tests unerlässlich. Beinah so, wie Ihre regelmäßigen Gesundheits-Check-Ups beim Arzt. Dabei überprüfen externe Security-Checks die Sicherheit der öffentlich zugänglichen Ressourcen (z. B. Mail- oder Webserver). Mittels Pentest lässt sich ein solcher Check durchführen. Ein Penetrationstest ist ein beauftragter, autorisierter, geplanter sowie simulierter Cyberangriff auf Ihr Unternehmen. Dabei gilt es, bisher unbekannte Schwachstellen zu identifizieren und zu eliminieren, bevor Hacker sie ausnutzen. Es lassen sich auf diesem Weg Schwachstellen in der Konfiguration der Firewall-Systeme oder auch den Applikationen selbst aufdecken.

Beauftragen Sie einen Pentest bei Vertical, werden die erkannten Schwachstellen pro System protokolliert und in einem ausführlichen Bericht zusammengefasst. Der Report enthält darüber hinaus die Bewertung des Risikopotenzials, sowie Hinweise und Maßnahmen zur Behebung der identifizierten Schwachpunkte. Sie können die Vorschläge dann selbst/intern umsetzen oder unsere Experten mit zur Hilfe nehmen.

Gefahren lauern auch intern…

Interne Security-Checks überprüfen die Sicherheit der internen, in der Regel nicht von außen erreichbaren, Systemen. Die Überprüfung und Pflege der internen Systeme wird häufig vernachlässigt, so dass die Angreifer von innen heraus leichtes Spiel haben. Unvollständige Windows-Updates oder fehlerhafte Konfigurationen führen zu vielen, eigentlich vermeidbaren Angriffsmöglichkeiten. Diese lassen sich allgemein in fünf Schweregrade eingestuft.

Fehlermeldungen mit der Einstufung „Info“ sind normalerweise als rein informativ zu sehen.
Auch die Meldung „Low“ ist in der Regel unkritisch.
Unter die ersten beiden Schweregrade fallen Informationen zu den eingesetzten Protokollen oder zum Software-Versionsstand. Eine Behebung ist meistens nicht notwendig.
Die Kategorie „Medium“ weist auf ungepatchte Sicherheitslücken oder Konfigurationsfehler (z. B. unverschlüsselte Management-Interfaces) hin. Ein Angriff auf diese Sicherheitslücken ist normalerweise nur mit viel Aufwand möglich und sie werden daher eher selten von Hackern ausgenutzt. Dennoch sollte die Behebung der Funde in den kommenden Wartungsfenstern durchgeführt werden.
Schwachstellen der Kategorie „High“, sollten zeitnah behoben werden. Darunter fallen veraltete oder unsichere Protokolle wie SSL Version 2 oder 3. Mit erhöhtem Aufwand können Systeme angegriffen oder vollständig übernommen werden.
Beim Schweregrad „Critical“ besteht sofortiger Handlungsbedarf. Typische Beispiele sind ungeschützte Schwachstellen mit einem CVSS Score von 10. Darunter fallen offene SMB1 Shares oder Systeme ohne Hersteller-Support. Eine Übernahme der betroffenen Systeme ist oft ohne großen Aufwand möglich und für Angreifer eine einfache Eintrittsmöglichkeit.

Fortwährendes Monitoring

Penetrationstests stellen immer eine Momentaufnahme des Sicherheitsstatus dar. Denn die Bedrohungslage und die Konfiguration der Systeme, wird sich über die Zeit verändern. Ein einmaliger Check ist somit ein guter Anfang aber geschützt sind nur, wenn auch Ihre Sicherheit immer auf dem neusten Stand der Technik ist. Für eine kontinuierliche Überwachung bietet sich der Service „Security Operations Center Vulnerability Scan and Consult“ an. Dieser führt regelmäßig Penetrationstests auf den definierten Systemen aus und erkennt damit zeitnah Bedrohungen.