Offensive Security
Schwachstellen findet man am besten, bevor Angreifer sie finden
Offensive Security ist der Ansatz, die eigene Infrastruktur mit den Augen eines Angreifers zu betrachten. Durch gezielte Simulationen von Angriffen (Penetration Testing, Red Teaming) werden Schwachstellen identifiziert, bevor sie von kriminellen Akteuren ausgenutzt werden können.
Es ist der notwendige Realitätscheck für jede Verteidigungsstrategie. Nur wer seine eigenen Schwächen kennt, kann sie effektiv beheben.
Anti-Patterns: Die passive Ignoranz
Viele Unternehmen verlassen sich auf Firewalls und Virenscanner, ohne jemals geprüft zu haben, ob diese im Ernstfall wirklich funktionieren. Ein Angreifer braucht nur eine einzige Lücke (zum Beispiel eine vergessene Test-Instanz oder ein ungeschütztes Mitarbeiter-Passwort), während die Verteidiger tausende Punkte gleichzeitig schützen müssen.
Angriff als Training
- Penetration Testing: Gezielte technische Prüfung von Webanwendungen, APIs und Netzwerken auf bekannte Schwachstellen.
- Red Teaming: Umfassende Simulation eines realen Angriffs über alle Ebenen (Technik, Mensch, physischer Zugang), um die Reaktionsfähigkeit der Organisation zu testen.
- Vulnerability Management: Systematische Erfassung und Priorisierung von gefundenen Lücken basierend auf ihrem tatsächlichen Risiko.
- Bug Bounty Programme: Einladung an ethische Hacker weltweit, gegen Belohnung Sicherheitslücken in den eigenen Systemen zu finden.
- Security Awareness Training: Simulation von Phishing-Angriffen, um Mitarbeitende für soziale Manipulationsversuche zu sensibilisieren.
Der Fokus: Reduktion der Angriffsfläche
Das Ziel ist es, die Kosten und den Aufwand für einen potenziellen Angreifer so weit zu erhöhen, dass ein Angriff auf das Unternehmen wirtschaftlich unattraktiv wird.
FAQ
Sollten wir wirklich Hacker dafür bezahlen, unsere Systeme anzugreifen?
Ja, unbedingt. Besser ist es, einen ethischen Hacker für einen Bericht zu bezahlen, als später einem kriminellen Hacker Lösegeld für die verschlüsselten Daten.
Sind automatisierte Scans nicht ausreichend?
Automatisierte Scans finden vor allem die tief hängenden Früchte. Ein menschlicher Angreifer kombiniert verschiedene kleine Lücken kreativ zu einem grossen Einbruch. Solche Verkettungen findet ein automatisierter Scanner selten; manuelle Tests durch Experten sind deshalb ein wichtiges Komplement.
Referenzen
- OWASP OWASP Top 10. Die kritischsten Sicherheitsrisiken für Webanwendungen. (2021). owasp.org/www-project-top-ten/
- MITRE ATT&CK Framework. Wissensdatenbank über Taktiken und Techniken von Angreifern. (2023). attack.mitre.org
- Offensive Security Kali Linux. Standard-Distribution für Sicherheits-Experten. (2024). www.kali.org