Ethical Hacking sorgt für IT-Sicherheit

IT-DIRECTOR: Herr de Graaf, insbesondere Großunternehmen und Konzerne engagieren professionelle Hacker, um mittels Sicherheits- und Penetrationstests potentielle Schwachstellen in der Unternehmens-IT aufzuspüren. Wie praktikabel ist diese Vorgehensweise in Ihren Augen?
B. de Graaf: Sogenannte Gefährdungsanalysen (Vulnerability Assessments) sind in vielen Unternehmen bereits ein etabliertes Vorgehen. Auch wir testen unsere eigenen Produkte und Services mit diesen Methoden. Entsprechende Tests sollten regelmäßig durchgeführt werden und Teil des Lifecycle Managements sein – also nicht nur, wenn eine neue Applikation eingeführt wird, sondern auch während des Lebenszyklus, denn täglich werden neue Gefahren entdeckt.

IT-DIRECTOR: Welche Schwachstellen können hiermit in der Regel aufgespürt werden?
B. de Graaf: Verschiedene Arten von Sicherheitslücken können entdeckt werden, von Cross-site Scripting (XSS) und SQL Injection über Konfigurationsfehler bis hin zu fehlerhaftem Patch-Management. Obwohl viele dieser Gefahren allgemein bekannt sind, tauchen solche Schwachstellen immer wieder auf. Es zeigt, dass es notwendig ist, Gefährdungsanalysen regelmäßig durchzuführen, um den aktuellen Sicherheitsstatus einer Netzwerkinfrastruktur oder einer Applikation zu prüfen.

IT-DIRECTOR: Welche Vorteile kann man sich vom sogenannten „ethischen Hacking“ versprechen? Welche Gefahren bzw. Risiken sind mit solchen Verfahren verbunden?
B. de Graaf: Mit Ethical Hacking können Schwachstellen erkannt werden, bevor Kriminelle sie finden und ausnutzen. Im Rahmen des Vulnerability Assessments geben wir auch Empfehlungen ab, wie die gefundenen Schwachstellen beseitigt werden können. Die Prüfung, ob ein Netzwerk oder eine Applikation sicher ist, sollte selbstverständlich sein, und sie hat nur Vorteile. Der einzige Nachteil könnte sein, dass diejenigen, die die Applikation implementiert haben, nicht gerne überprüft werden möchten … Aber es ist immer noch besser, wenn eine solche Prüfung in geordneter Art und Weise abläuft, als dass man sie den Leuten überlässt, die Böses im Schilde führen.

IT-DIRECTOR: Wo finden Sicherheitsverantwortliche die für ihre Zwecke geeigneten Hacker? Und wie können sie sicherstellen, dass sie nicht an den Falschen geraten?
B. de Graaf: Wir empfehlen, mit Spezialisten aus der Branche zusammenzuarbeiten, die eine gute Reputation haben. Diese Firmen haben die Erfahrungen und die notwendigen Prozeduren, um geeignete „Ethical Hackers“ einstellen zu können, und verfügen gegebenenfalls auch über die notwendigen Sicherheitsfreigaben, um Aufträge für Behörden und Sicherheitsorgane auszuführen. In keinem Fall sollte man sich an Hacker wenden, die eine kriminelle Vergangenheit haben.

IT-DIRECTOR: Auf welche „Qualitäten“ sollte man bei der Auswahl der Hacker besonders achten? Inwiefern gibt es in diesem Zusammenhang bereits Zertifizierungen, auf die man achten sollte? Wie sehen „Hacker-Referenzen“ für gewöhnlich aus?
B. de Graaf: Abgesehen von den rein technischen Fähigkeiten muss ein Ethical-Hacking-Consultant in der Lage sein, die identifizierten Schwachstellen und die davon ausgehenden Risiken präzise zu beschreiben und entsprechende Empfehlungen zu geben, wie das Problem behoben werden kann.

Bei uns haben wir einen eigenen Evaluierungsprozess, um die technischen und kommunikativen Fähigkeiten eines Kandidaten zu prüfen. Dazu gehört, dass der Kandidat eine zweitägige Gefährdungsanalyse für ein Netzwerk und eine Applikation durchführen muss. Eine weitere Referenz sind Zertifikate, etwa von der Organisation Crest (www.crest-approved.org). Crest zertifiziert sowohl Einzelpersonen als auch Unternehmen.

IT-DIRECTOR: Mit welchen Kosten sind solche Aktionen in der Regel verbunden?
B. de Graaf: Die Frage lässt sich nicht pauschal beantworten, da die Kosten sehr stark vom Umfang des Prüfauftrags und der notwendigen Vorbereitungszeit abhängen. Manche Tests können aus der Ferne via Netzwerk durchgeführt werden, andere erfordern es, dass der Consultant anreist. Ein einfaches Assessment für einen einzelnen Webserver kann für unter 1.000 Euro zu haben sein, während eine umfassende Prüfung eines Unternehmensnetzwerks leicht mehrere 10.000 Euro kosten kann.

IT-DIRECTOR: Welche gesetzlichen bzw. firmeninternen (Compliance-)Vorgaben müssen bei der Zusammenarbeit mit Hackern beachtet werden?
B. de Graaf: In den meisten Ländern ist es illegal, sich in Netzwerke und Anwendungen einzuhacken. Deshalb ist es wichtig, einen rechtlich verbindlichen Vertrag zu schließen, bevor ein Hacker die Arbeit aufnimmt.

Außerdem sollte man eine Datensicherung erstellen und die Nutzer der zu testenden Systeme informieren, sofern man in einer Live-Umgebung arbeitet. Um den Betrieb des Unternehmens nicht zu stören ist es aber besser, in einer Testumgebung zu arbeiten, soweit das möglich ist.