So lesen Sie einen Penetrationstest-Bericht

Der Bericht ist der Teil eines Penetrationstests, der Ihnen bleibt, wenn die Tester gegangen sind. Wer ihn gut liest, behebt zuerst das Richtige und holt echten Nutzen aus dem Nachtest. Er hilft Ihnen außerdem, einen „Pentest“ zu erkennen, der in Wahrheit ein automatischer Scan mit Deckblatt war.

Was ein guter Bericht enthält

Der OWASP Web Security Testing Guide beschreibt eine Berichtsstruktur, die sich gut als Maßstab eignet. Jeder Teil richtet sich an eine andere Leserschaft, und der Leitfaden schlägt vor, die Abschnitte für die Teams, die sie brauchen, getrennt auszudrucken.

Lesen Sie den Abschnitt zu den Einschränkungen genau. Wenn Kontosperren den Test ausgebremst haben oder ein Server am zweiten Tag aus dem Umfang genommen wurde, sollte der Bericht das sagen. Ein sauberes Ergebnis für einen Bereich, der nie getestet wurde, sagt Ihnen nichts.

Das britische National Cyber Security Centre (NCSC) nennt zwei weitere Punkte, die leicht übersehen werden. Ein guter Bericht enthält die Einschätzung der Tester, wie zutreffend Ihre eigene Schwachstellenbewertung war, und Hinweise, wie Sie diesen Prozess verbessern können.

Aufbau eines guten Befunds

Jeder Befund sollte es einer Fachkraft, die nicht am Projekt beteiligt war, ermöglichen, das Problem zu verstehen, nachzustellen und zu beheben. Achten Sie auf:

• eine eindeutige ID und einen klaren Titel
• eine Einstufung des Schweregrads, mit dem CVSS-Vektor, wenn CVSS verwendet wird
• die genau betroffenen Systeme, etwa Hosts, URLs, Parameter oder Rollen
• eine Beschreibung der Schwachstelle und warum sie für Ihr Unternehmen relevant ist
• Nachweise wie Anfragen und Antworten, Screenshots oder Befehlsausgaben
• Schritte zur Reproduktion
• konkrete Empfehlungen zur Behebung, mit Verweisen etwa auf ein Advisory des Herstellers

Hier ein verkürztes Beispiel, wie das in der Praxis aussieht:

ID        AF-07  Invoice download does not check ownership
Severity  Medium  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N (6.5)
Affected  GET /api/v1/invoices/{id}/pdf on portal.example.eu
Evidence  Logged in as customer A, a request for invoice 10452
          (customer B) returned customer B's PDF.
Impact    Any customer can download other customers' invoices,
          including names, addresses and amounts.
Fix       Check on the server that the invoice belongs to the
          logged-in customer for every request.
Retest    Request another customer's invoice and expect 403 or 404.

Das Beispiel beschreibt einen Rechnungs-Download, der nicht prüft, ob die Rechnung dem angemeldeten Kunden gehört: Kunde A konnte die Rechnung von Kunde B abrufen. Am Vektor sehen Sie, warum der Befund als Medium eingestuft ist: Die Vertraulichkeit ist betroffen, Integrität und Verfügbarkeit nicht. Er erlaubt Ihnen auch, mit gutem Grund zu widersprechen. Weil die Rechnungen personenbezogene Daten enthalten, könnten Sie entscheiden, dass der Befund eine höhere Priorität verdient, als der Wert nahelegt.

Wie Befunde bewertet werden

Viele Berichte bewerten Befunde mit dem Common Vulnerability Scoring System (CVSS), das FIRST pflegt, und das NCSC führt es unter den Bewertungsschemata, die Sie verlangen können. CVSS v3.1 und v4.0 verwenden dieselben qualitativen Stufen:

Drei Punkte helfen beim Lesen dieser Einstufungen:

• Ein Basiswert misst den Schweregrad, nicht Ihr Risiko. FIRST beschreibt ihn als Abbild der inhärenten Eigenschaften der Schwachstelle unter einem plausiblen Worst Case. Wer ihn nutzt, soll ihn um Informationen über die eigene Umgebung ergänzen.
• Der Schweregrad ist eine Eingangsgröße. Der OWASP-Leitfaden empfiehlt, das in der Management-Zusammenfassung ausdrücklich festzuhalten: Die Einstufung fließt in Ihr Risikomanagement ein, statt es zu ersetzen.
• Den Testern fehlt der geschäftliche Kontext. Das NCSC rät, Befunde selbst zu bewerten, weil Einstufungen zu hoch oder zu niedrig sein können. Es warnt aber auch davor, Probleme auf diesem Weg kleinzureden.

Was Sie zuerst beheben

1. Alles, was aus dem Internet ohne Anmeldung ausnutzbar ist, besonders wenn es zu Codeausführung, Datenzugriff oder administrativer Kontrolle führt.
2. Angriffsketten. Ein guter Bericht zeigt, wie sich mehrere niedriger eingestufte Befunde zu einem schwerwiegenden verbinden. NIST SP 800-115 weist darauf hin, dass Scanner Schwachstellen nicht erkennen, die erst durch die Kombination mehrerer Lücken entstehen. Solche Ketten zu finden ist ein großer Teil dessen, was menschliche Tester beitragen.
3. Systeme, die die Schlüssel verwalten, etwa Identitätsanbieter, Backup-Server, Fernzugangs-Gateways und alles, was personenbezogene Daten verarbeitet.
4. Schnelle Erfolge. Manchmal schließt eine einzige Konfigurationsänderung mehrere Befunde auf einmal.
5. Grundursachen. NIST empfiehlt nach einer Prüfung eine Ursachenanalyse, weil die Ergebnisse auf schwache Prozesse ebenso hinweisen können wie auf schwache Systeme. Fünf fehlende Patches auf fünf Servern sind ein Befund zum Patch-Management, nicht fünf voneinander unabhängige Probleme.

Das NCSC versteht einen Penetrationstest als Kontrolle Ihres eigenen Schwachstellenmanagements, nicht als wichtigsten Weg, Schwachstellen zu finden. Neue Entdeckungen sollten nach seinen Worten „die Ausnahme sein, nicht die Regel“. Wenn der Bericht Sie überrascht, sagt das auch etwas über Ihre internen Prozesse aus.

Nachtest

Vereinbaren Sie den Nachtest schon bei Vertragsabschluss, einschließlich dessen, was er umfasst und wie viel Zeit Sie vorher zur Behebung haben. Lassen Sie sich die Ergebnisse als aktualisierten Bericht oder Anhang geben, mit einem Status für jeden Befund: behoben, teilweise behoben, nicht behoben oder Risiko akzeptiert.

Ein Nachtest bestätigt konkrete Korrekturen. Er ist kein neuer Test. Das NCSC betont, dass ein Test nur den Zustand Ihrer Systeme am Tag der Durchführung zeigt und dass zwischen zwei Tests häufig ein Jahr oder mehr liegt. Prüfen Sie dazwischen weiter.

Warnsignale bei einem billigen „Pentest“

Automatisierte Scans haben ihren Platz, und NIST SP 800-115 behandelt sie als eine der Standardtechniken für Sicherheitsprüfungen. Es weist aber auch darauf hin, dass Scanner viele Fehlalarme liefern können und jemanden mit dem nötigen Fachwissen brauchen, der die Ergebnisse interpretiert. Das Problem beginnt, wenn ungeprüfte Scan-Ergebnisse als Penetrationstest verkauft werden. Warnsignale sind unter anderem:

• Befunde mit allgemeinem, kopiertem Text und ohne Nachweis, dass jemand sie bestätigt hat
• Dutzende Punkte mit geringer Auswirkung zu Bannern und TLS-Ciphers, aber nichts zu Zugriffskontrolle, Authentifizierung oder Geschäftslogik, die nur ein Mensch testen kann
• Schweregrade, die direkt aus dem Tool übernommen wurden; laut NIST sollten die Prüfenden das Risikoniveau selbst festlegen, statt die Einstufungen des Scanners zu übernehmen
• kein Abschnitt zu Umfang, Methodik oder Einschränkungen
• keine Schritte zur Reproduktion, sodass Ihr Team eine Korrektur nicht überprüfen kann
• keine namentlich genannten Tester oder Angaben zu ihren Qualifikationen; laut NCSC sollten Tests nur von qualifiziertem und erfahrenem Personal durchgeführt werden
• ein „Nachtest“, der einfach derselbe Scan noch einmal ist

Wo Sie anfangen

Fragen Sie den Anbieter vor Ihrem nächsten Test:

• Was genau gehört zum Umfang, und was ist ausgeschlossen?
• Erhalten die Tester Konten für jede Benutzerrolle, die abgedeckt werden soll?
• Können Sie einen anonymisierten Musterbericht sehen?
• Wie werden Befunde bewertet, und enthält jeder einen CVSS-Vektor?
• Ist ein Nachtest enthalten, und in welchem Zeitfenster?

Wenn Sie einen Test planen und zuerst über den Umfang sprechen möchten, sehen Sie sich unsere Penetrationstests an.