Hacking explizit erwünscht

IT-DIRECTOR: Herr Funk, insbesondere Großunternehmen und Konzerne engagieren professionelle Hacker, um mittels Sicherheits- und Penetrationstests potentielle Schwachstellen in der Unternehmens-IT aufzuspüren. Wie praktikabel ist diese Vorgehensweise in Ihren Augen?
C. Funk: Pentests als externe Dienstleistung sind bereits ein gängiges Mittel, um Schwachstellen auf Webseiten und in der Infrastruktur eines Unternehmens offenzulegen. Interne Experten sind daher eine logische Erweiterung dieser Bemühungen und unterstützen gleichzeitig die Natur des Gedankens „Sicherheit als Prozess, anstatt Momentaufnahme“. Schließlich befindet sich die Infrastruktur eines Unternehmens oftmals im stetigen Wandel, in welchem auch die Sicherheit in ihrer Komplexität betrachtet werden kann.

IT-DIRECTOR: Welche Schwachstellen können hiermit in der Regel aufgespürt werden?
C. Funk: Je nach Zielsetzung und Fähigkeiten des Ausführenden können viele Bereiche auf Schwachstellen abgeklopft werden. Angefangen von grundlegenden Domänen wie Konfiguration von Systemen, Rechtemanagement und logischen Aufbau der Netzwerke, bis hin zur Analyse der eingesetzten Software und deren Schnittstellen auf Sicherheitslücken oder Mitarbeitertests durch gängige Social-Engineering-Praktiken ist alles denkbar. Es sind viele Testszenarien denkbar, die realen Angriffsfällen nachempfunden werden können.

IT-DIRECTOR: Welche Vorteile kann man sich vom sogenannten „ethischen Hacking“ versprechen? Welche Gefahren bzw. Risiken sind mit solchen Verfahren verbunden?
C. Funk: Ethical Hacking beschreibt im Grunde den genehmigten Testprozess mit allen Mitteln, die echte Angreifer ebenfalls einsetzen würden. Dies bedeutet auch den Einsatz von Exploits, die Schwachstellen ausnutzen, um die Kontrolle über ein System zu erlangen oder erweiterte Rechte auf einem solchen zu bekommen. Diese sind oftmals sehr komplex und können zu unerwünschten Nebenwirkungen wie Instabilität auf einem System führen. Daher sollten die Testmittel mit Bedacht von erfahrenen Personen für ein Szenario abgestimmt oder ein identisches Testsystem aufgesetzt werden, damit der Betrieb nicht beeinträchtigt wird.

IT-DIRECTOR: Wo finden Sicherheitsverantwortliche die für ihre Zwecke geeigneten Hacker? Und wie können sie sicherstellen, dass sie nicht an den Falschen geraten?
C. Funk: In der Sicherheitsbranche ist Vertrauen die härteste Währung, entsprechend ist der Ruf von Pen-Testern und Sicherheitsfirmen von großer Bedeutung. Da der Wert von Sicherheit in den vergangenen Jahren stark zugenommen hat, bieten auch Universitäten mittlerweile verstärkt Studiengänge mit diesem Schwerpunkt an.