G&R Cybersecurity

Der Umzug in die Cloud

In den letzten Jahren hat sich der universelle Wechsel in die Cloud deutlich abgezeichnet. Unabhängig davon, ob Sie Ihre Software auf einem verwalteten Cluster betreiben, Ihre eigene Bereitstellungsumgebung pflegen oder die gesamte Infrastruktur von Grund auf verwalten. Cloud-Bereitstellungen ermöglichen eine weitaus bessere Stabilität, Skalierbarkeit und Verwaltbarkeit als herkömmliche Deployments, da große Teile der Bereitstellung automatisiert und vereinheitlicht werden.

Risiken eines Umzugs

Die Verwaltung der Bereitstellungsinfrastruktur kann an sich schon eine sehr komplexe Aufgabe sein, bei der viele kleine Fehler gemacht werden können. Indem Sie Ihre Infrastruktur eine weitere Ebene hinzufügen, vergrößern Sie ungewollt auch Ihre Angriffsfläche.
Konfigurationen werden oft einfach aus der Vorproduktion portiert, die oft wenig bis gar keine Sicherheitsrichtlinien oder viel zu permissive Anwendungsfunktionen enthalten. Dies kann dazu führen, dass kompromittierte Anwendungen zu gefährlichen Vektoren werden, über die ein Angreifer schnell andere Anwendungen und Clusterdienste infizieren kann. Erschwerend kommt hinzu, dass Anwendungs-Backups oft unsachgemäß durchgeführt werden und von infizierten Diensten aus gefunden und aufgerufen werden können.

Mögliche Angriffsszenarien

Für Pentesting ist es sehr hilfreich, verschiedene Angriffsvektoren zu berücksichtigen:

Applikations-Vektor

Der gängigste Ansatz besteht darin, einen Dienst oder eine Anwendung anzugreifen, die in Ihrer Infrastruktur läuft. Dabei werden im ersten Schritt Webapp- und Anwendungstests kombiniert. Wenn eine Anwendung erfolgreich infiziert wurde, wird sie als Einstiegspunkt verwendet, um sich durch den Cluster zu bewegen. Dies geschieht in der Regel durch die Untersuchung anderer interner Anwendungen oder durch die Nutzung der Laufzeitschnittstelle der Anwendung, um auf andere laufende Dienste zuzugreifen.

Ein anderer Ansatz besteht darin, eine bereitgestellte Software direkt zu infizieren, um das Worst-Case-Szenario zu simulieren und sich direkt auf die Sicherheit der Bereitstellung zu konzentrieren, z. B. auf die Anwendungsfunktionen und die interne API-Konfiguration.

Laufzeit-Vektor

Dieser Angriff nutzt offengelegte APIs, um Informationen über die interne Struktur Ihrer Umgebung zu erhalten oder im schlimmsten Fall Ihre Systeme direkt zu infizieren. Dies ist häufig eine Folge von Vorab-Konfigurationen, die fahrlässig wiederverwendet werden. Angriffe wie diese sind besonders gefährlich, da sie wenig bis gar keine Zeit und Kenntnisse erfordern, um einen Angriff zu finden und durchzuführen.

Host-Vektor

Dies sind die traditionellen Angriffe, die sich auf die einzelnen Hosts des Clusters konzentrieren. Anstatt den Angriff auf einen einzelnen Rechner zu beschränken, kann ein infizierter Cluster-Host aufgrund der starken Vernetzung der Umgebung leichter auf andere Instanzen übergreifen.

Was ist das?

Pen Tests sind organisierte Angriffe auf die IT-Infrastruktur eines Unternehmens, um Sicherheitslücken innerhalb von Systemen zu finden und zu lösen. Dafür nutzen Cyberexperten, auch ethische Hacker genannt, ihre Fähigkeiten, unter Beauftragung des Unternehmens, und versuchen Schwachstellen eines Unternehmens zu finden und sicher auszunutzen.

Vergleichbar wäre es, wenn eine Bank jemanden beauftragt sich als Einbrecher zu verkleiden und zu versuchen in ihr Gebäude einzudringen, um sich Zugang zu den Wertgegenständen zu verschaffen. Gelingt es dem vermeintlichen Einbrecher einzudringen, so erhält die Bank wertvolle Informationen über ihre Sicherheitslücken, und wo sie ihre Maßnahmen verschärfen muss.

Wer führt die Penetration Tests durch?

Idealerweise kommen hierfür Personen in Betracht, die keine oder nur geringe Vorkenntnisse über die interne Sicherheit des Netzes haben, da dadurch die Möglichkeit besteht blinde Flecken aufzudecken, die von den internen Administratoren übersehen wurden. Deshalb werden in der Regel externe Unternehmen mit der Durchführung dieser Tests beauftragt.

Arten von Pen Tests:

• Externer Pentest: Hierbei wird die nach außen hin gerichteter Technologie des Unternehmens angegriffen, beispielsweise die Website, Mailserver und externe Netzwerkserver. Dies kann vom Firmengelände aus durchgeführt werden oder einem entfernteren Standort

• Interner Pentest: Dabei werden die Angriffe vom internen Netzwerk eines Unternehmens durchgeführt, beispielsweise die Entwicklungsumgebung, interne Netzwerkserver und Fileshares. Dies ist nützlich, um den potentiellen Schaden einschätzen zu können, den ein Mitarbeiter hinter der Firewall anrichten könnte, oder ein Hacker der sich bereits im internen Netzwerk befindet.

• Black-Box-Tests: Diese sind auch bekannt als „Closed-Box-Pentests“. Dafür werden dem Angreifer außer dem Namen, der Adresse des Zielunternehmens und dem Scope keine zusätzlichen Informationen gegeben.

• White-Box-Tests: Auch bekannt als „Open-Box-Pentests“. Hierbei werden dem Angreifer bereits im Vorfeld Informationen über die Sicherheitsinfrastruktur des Unternehmens mitgeteilt.

Pentest Methodologie

Penetrationstests können in die folgenden 7 Schritte unterteilt werden:

• Vorbereitende Maßnahmen
• Sammeln von Informationen
• Modellierung der Bedrohung
• Schwachstellenanalyse
• Exploitation
• Post-Exploitation
• Berichterstattung

Vorbereitende Maßnahmen

Hierbei wird zunächst zusammen mit dem Kunden ein gemeinsames Verständnis über den Auftrag und die Vereinbarung der Ziele hergestellt. Dazu gehören unter anderem der Umfang der Tests, Zeit- und Budgeteinschätzungen, Kommunikationskanäle und die Auftragsregeln, an die sich die G&R Cybersecurity zu halten hat. Zu diesem Zeitpunkt werden alle Tools, Betriebssysteme und Software, die für die Durchführung der Tests benötigt wird, bereitgestellt. Diese Auswahl hängt von der Art und Tiefe des Auftrags ab, den der Kunde gewählt hat.

Sammeln von Informationen

Die Informationsbeschaffung (auch OSINT genannt) ist die erste Phase des Einsatzes. Hierbei werden Aufklärungsmaßnahmen gegen das Ziel durchgeführt, um einen effektiven Angriffsplan zu erstellen. Es werden alle relevanten Informationen gesammelt über das Unternehmen und seine Mitarbeiter, welche uns helfen könnten Zugang zu Systemen zu erhalten. Dabei werden automatisierte und manuelle Analysen kombiniert, um zusätzliche Informationen zu erhalten zum Beispiel über den Standort, die Geschäftsbeziehungen, Ablaufpläne und Organisation.

Modellierung der Bedrohung

In dieser Phase werden aus den zuvor gesammelten Informationen verschiedene Angriffsvektoren ausgearbeitet, durch deren Analyse die G&R die Ziele im Unternehmen für eine Schwachstellenanalyse bewerten kann. Dabei werden stets nach möglichen Sicherheitslücken in Systemen, Designs und Richtlinien gesucht. Durch eine effektive Bedrohungs-Modellierung wird ein realistischer Angriff auf das Ziel simuliert.

Schwachstellenanalyse

Hierbei werden die Ergebnisse der zuvor aufgedeckten Lücken im System bewertet. Zunächst werden die Schwachstellen aus den Berichten der zuvor verwendeten Bewertungstools ermittelt. Danach werden diese nach ihrem Bedrohungsgrad individuell für das Unternehmen bewertet und nach ihrer Priorisierung genauer betrachtet. Mithilfe manueller Methoden werden Fehlalarme ausgeschlossen und ein Angriffsbaum erstellt.

Exploitation

Nachdem die Liste der Schwachstellen mit hohem Risiko erstellt wurde, werden nun echte Angriffe durchgeführt. Dabei verwendet die G&R verschiedene automatisierte Frameworks und Tools, die von Ihr selbst entwickelt wurden oder die als Open-Source verfügbar sind, um die Systeme zu kompromittieren. Das Hauptziel hierbei ist es unter Umgehung verschiedener Sicherheitsmechanismen Zugang zum Zielsystem oder der Zielressource zu erlangen, um den Zugriff, auf die in der ersten Phase vereinbarten Daten, Ziele, nachzuweisen.

Post Exploitation

Im Anschluss werden die Ergebnisse der vorherigen Phasen analysiert und der Wert des kompromittierten Systems bestimmt und die Wahrscheinlichkeit, dass es zu einer weiteren Kompromittierung des Netzwerkes führen kann. Der Wert des Systems wird anhand der Sensibilität der darauf gespeicherten Daten und der Auswirkungen, die ein solcher Verstoß auf ihr Unternehmen haben kann, bewertet. Es werden von der G&R alle sensiblen Daten, Konfigurationseinstellungen, Kommunikationskanäle und Beziehungen zu anderen Geräten, die genutzt werden können, um Zugang zum System zu erhalten, identifiziert und dokumentiert.

Berichterstattung

In dieser letzten Phase der Bewertung werden die Ergebnisse aller vorangegangenen Tests in eine für den Kunden verständliche Form gebracht. Hierbei werden die Sicherheitsmängel, die es einem Angreifer ermöglichen das System zu kompromittieren, sowie diverse Abhilfemethoden detailliert beschrieben. Dieser Bericht konzentriert sich auf die Auswirkungen für das Geschäft, während er die allgemeine Sicherheitslage, das Risikoprofil und die Empfehlungen zu den besten Praktiken für ihr Unternehmen darlegt. Die detaillierten technischen Aspekte der Tests werden ebenfalls dokumentiert, inklusive des Umfangs der Angriffsmethoden und der Auswirkungen, die ihrem IT-Team zur Verfügung gestellt werden können.