IT-Security Automatisierte Pentests: Lösung für den IT-Fachkräftemangel?

Anbieter zum Thema

mod IT Services GmbH

G DATA CyberDefense AG

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

Auf dem deutschen Arbeitsmarkt fehlen Experten im IT-Bereich. Gleichzeitig steigt die Bedrohung durch Cyberkriminalität. Wie können Unternehmen ihre Daten dennoch effizient schützen? Die Antwort kann automatisiertes Pentesting liefern. Was steckt dahinter?

Der Fachkräftemangel in der Informationstechnik hat in Deutschland ein neues Rekordhoch erreicht. Aus einer Studie des Instituts der deutschen Wirtschaft geht hervor, dass es noch nie einen so hohen Fachkräftemangel in der Informationstechnik gab, wie im letzten Jahr. In Deutschland waren 2022 bundesweit rund 67.924 Stellen im IT-Bereich offen. Im Gegenzug hatten aber nur 27.136 Arbeitssuchende eine IT-Qualifikation. Grund für den gesteigerten Bedarf an qualifizierten Fachkräften ist vor allem der Ausbau der digitalen Infrastruktur in allen Wirtschaftsbereichen sowie die fortschreitende Digitalisierung der gesamten Gesellschaft. Parallel zur sinkenden Zahl der IT-Fachkräfte nimmt die Cyberkriminalität zu. Die Anzahl der Cyberangriffe auf Unternehmen und öffentliche Einrichtungen ist in den letzten Jahren exponentiell gestiegen. Vor allem die Digitalisierung bedingt durch die Corona-Pandemie sowie die geopolitische Lage haben diese Entwicklung beschleunigt.

Problematisch ist, dass Hacker immer professioneller vorgehen und sich zunehmend in Gruppen organisieren. Auch die Anzahl an auftretenden Sicherheitslücken nimmt stetig zu. Daher ist der Druck auf IT-Fachkräfte und IT-Abteilungen entsprechend hoch. Tagtäglich müssen IT-Administratoren lange Listen priorisierter Schwachstellen überprüfen und abarbeiten, mit denen sie von Vulnerability Management Tools auf Trab gehalten werden. Doch wie kann mit diesem Workload Schritt gehalten werden, wenn Zeit und Kapazitäten fehlen? Automatisierung kann hier die Lösung sein. Durch automatisiertes Pentesting können IT-Administratoren Ressourcen sparen, indem ihnen aufgezeigt wird, welche Schwachstellen ein tatsächlich hohes Risiko für das zu schützende Netzwerk darstellen.

Rundum-Security

Sicherheitsteams, die nur auf Vulnerability Management Tools setzen, können sich nie hundertprozentig darauf verlassen, dass das zu schützende Netzwerk tatsächlich sicher ist. Denn: Gängige Schwachstellenscanner erkennen lediglich Sicherheitslücken, die dem Hersteller des Scanners bekannt sind und die in der Datenbank hinterlegt wurden. Deshalb besteht die Gefahr, dass neue Lücken nicht auf dem Radar erscheinen. Auf Dauer entwickelt sich so ein Katz-und-Maus-Spiel zwischen Sicherheitsteams und Cyberkriminellen. Zudem sind die Prüfmechanismen solch eines Scanners bei der Identifizierung einer Schwachstelle eingeschränkt, da diese nicht ausgenutzt wird. Der Scanner führt nämlich keine Exploits durch, weshalb der Verlauf eines möglichen Angriffs nicht nachvollzogen werden kann. Ein Rundum-Schutz ist allerdings nicht gegeben, wenn der potenzielle Schaden durch eine Schwachstelle nicht bekannt ist.

Um die IT-Security eines Unternehmens abzurunden, sollte neben einem soliden Patchmanagement und langfristigem Schwachstellenmanagement deshalb eine Automated Security Validation (kurz: ASV) mittels Pentesting implementiert werden. Wenn Unternehmen ihre Schwachstellen bereits kontrollieren, können komplexere Sicherheitslücken durch Pentesting ausfindig gemacht werden.

Wie geht automatisiertes Pentesting?

Für die Ausführung eines automatisierten Pentests benötigt man weder spezielle Hardware, noch tiefgehende Expertise in diesem Feld. Zum Einsatz kommt ein performantes Endgerät oder ein Server, auf dem die Software installiert wird. Um Passwort-Hashes in Echtzeit cracken zu können, ist eine NVIDIA-Grafikkarte mit einer hohen Leistung gefordert. Als nächstes muss erörtert werden, in welchem Umfang der Scan das Netzwerk testen soll. Damit es nicht zu einer Betriebsunterbrechung kommt, müssen gewisse Bereiche des Netzwerkes weiterlaufen und können nicht in den Test integriert werden. Dafür muss bekannt sein, welche IP-Kreise welche Systeme umfassen. Im Vorfeld sollte dementsprechend klar sein, welche Systeme getestet werden sollen und in welchem Umfang. Sind diese Fragen geklärt und die entsprechenden Einstellungen umgesetzt, kann es mit dem eigentlichen Test losgehen. Die Software geht dabei genauso vor, wie es ein Hacker tun würde.

Anforderungen – Auswirkungen – Eckdaten

NIS2-Richtlinie – Was bedeutet die neue Vorschrift für Ihre Cybersecurity?

Ethical Hacking

Automatisierte Pentests haben eine Besonderheit: Das Infiltrieren des Systems ist keine Simulation. Das System wird tatsächlich gehackt. Bei diesem sogenannten ethischen Hacking werden Cyberattacken imitiert, um herauszufinden, welche Sicherheitslücken den größten Schaden verursachen. Dafür ist es notwendig, den Exploit vollständig durchzuführen. Die Angriffe des automatisierten Pentests können genau dokumentieren, wie sich Hacker Zugang zum Netzwerk verschaffen und wie sie weiter vorgehen würden – und zwar in Echtzeit. Die Software teilt gefundene Schwachstellen in Prioritäten ein, um die gefährlichsten Sicherheitslücken aufzuzeigen. Lösungsvorschläge wie beispielsweise Group Policy-Object-Konfiguration (kurz: GPO) werden ebenfalls mitgeliefert.

Im Anschluss an den Test wird auf Knopfdruck ein Reporting erstellt. Daraus können Unternehmen ableiten, ob das eigene Netzwerk sicher genug ist, reale Angriffe abzuwehren. Durch den Report lassen sich sämtliche Angriffsoperationen nachvollziehen. Für die Ausführung des Tests benötigt man lediglich ein Notebook – der Test kann aber auch auf einem Desktop oder auf dem Server im Rechenzentrum laufen. Ein schneller Grafikprozessor im Hintergrund ist dafür unbedingt notwendig.

Automatisierung vs. Mensch

Die automatisierte Pentesting-Lösung ist im Vergleich zur manuellen Ausführung eine Neuerung und punktet aufgrund zahlreicher Vorteile. Einer davon ist im Unterschied zwischen Mensch und Maschine begründet. Denn jeder Mensch hat unterschiedlich stark ausgeprägte Fähigkeiten. Die Software liefert dagegen unabhängig von der Person konsistent Leistung, denn die Testqualität ist stets gleichbleibend. Ein weiterer Vorteil ist die fortwährende Versorgung der Software mit neuen Angriffsmethoden durch regelmäßige Updates. Wenn der Pentest kontinuierlich laufen gelassen wird, kann sichergestellt werden, dass das Netzwerk den neuesten komplexen Angriffen standhalten kann. Im Gegensatz dazu müsste sich der Mensch in dieser Thematik zuerst fortbilden. Das bedeutet Zeit- und Kostenaufwand. Darüber hinaus kann der automatisierte Pentest rund um die Uhr durchgeführt werden, da er den laufenden Betrieb eines Unternehmens nicht beeinträchtigt. Im Gegensatz zu manuellen Pentests werden hier keine spezialisierten IT-Fachkräfte benötigt. Und da Pentesting-Experten eher selten zu finden sind, punktet die automatisierte Version an dieser Stelle erneut.

Den Hackern auf den Versen

Cyberkriminelle setzen mittlerweile selbst auf automatisierte Angriffe und Schwachstellenscans, um möglichst viele Ziele gleichzeitig zu treffen. Warum sollten Unternehmen dann nicht auch automatisierte Lösungen für ihre IT-Security nutzen? Wer beispielsweise einmal pro Jahr einen manuellen Pentest durchführen lässt, wird niemals adäquat abgesichert sein, da aktuelle Schwachstellen über einen Zeitraum von mehreren Monaten nicht entdeckt werden. Automatisierte Pentests können hingegen wöchentlich durchgeführt werden. Nur ein Unternehmensnetzwerk, dass regelmäßig getestet wird, kann den neuesten komplexen Angriffen standhalten.

Auch in Zukunft resilient bleiben

Die Methoden krimineller Hacker wandeln sich stetig und Cyberkriminelle werden ihr Vorgehen auch in Zukunft an die gängigen Abwehrmechanismen anpassen. Daher lohnt sich auf lange Sicht die Investition in die Sicherheit der Unternehmensnetzwerke und in den Ausbau der dazu notwendigen Maßnahmen. Automatisiertes Pentesting ist gegenwärtig und auch zukünftig die Software, die der ganzheitlichen IT-Security einen bedeutenden Baustein liefert und mit der Unternehmen Cyberkriminellen stets einen Schritt voraus sind. Denn gerade im Hinblick auf den IT-Fachkräftemangel sollten Ressourcen und Energien mit Bedacht eingesetzt werden, um gegen die steigende Zahl der Cyberangriffe widerstandsfähig zu bleiben.

Dieser Artikel stammt von unserem Partnerportal Industry of Things

* Sebastian Brabetz ist in der Geschäftsleitung bei Mod IT Services für die Professional Security Solutions verantwortlich.

(ID:49705971)