Penetrationstests richtig auswerten

Bei einem Penetrationstest, kurz Pentest, versucht man, Sicherheitslücken eines Webprojektes offen zu legen. Dazu werden alle Bestandteile des Projektes, etwa der Webserver, die Server-Software oder auch die Webseite, künstlich verschiedenen Angriffsszenarien ausgesetzt. Das geschieht mit dem Ziel, Schwachpunkte frühzeitig zu erkennen und Sicherheitslücken zu schließen.

Grundsätzlich gilt: Die Durchführung eines Pentests ist gesetzlich verboten. Dieser Umstand lässt sich allerdings durch eine vertragliche Vereinbarung (Permission to Attack, kurz PTA) zwischen der zu testenden und der den Test durchführenden Organisation umgehen.

Das Reporting eines Pentests ist oftmals sehr ausführlich. Häufig werden vom Anbieter extrem viele Daten ausgeliefert, die konzentriert und priorisiert abgearbeitet werden müssen. Oftmals stellt sich dabei heraus, dass den vielen Angaben weitaus weniger Maßnahmen folgen müssen. Starte am besten mit den Problemen, die als “High” klassifiziert wurden. Als “Medium” oder “Low” eingestufte Issues sind selten dringlich und können in der Regel im nächsten Entwicklungszyklus, wenn du sowieso am Code arbeitest, betrachtet werden.

Typische Probleme, die ein Pentest offen legt:

• Fehlende SSL Verschlüsselung: Der Klassiker unter den Sicherheitsanforderungen an ein Webprojekt. Das SSL-Zertifikat lässt sich ohne großen Aufwand implementieren. Hostest du deine Projekte bei mittwald, stehen dir sowohl kostenlose als auch kostenpflichtige Zertifikate für unterschiedliche Anwendungsbereiche zur Verfügung.
   
• Weak cipher: Schwache TLS-Chiffren sind ein Sicherheitsrisiko. Deshalb wird etwa bei mittwald standardmäßig TLS nur noch ab Version 1.2 aufwärts angewendet. Infos, wie du deine Verschlüsselungsprotokolle anpasst, findest du in unserem FAQ-Artikel.
   
• Offene Ports: Die offenen Ports 21,22,80 und 443 und 3306 werden häufig als Sicherheitsrisiko ausgezeichnet. Allerdings wird kaum eine Webseite ohne zumindest einen dieser Ports auskommen.
  
  Zur Erklärung:

Port

Verwendungszweck

Kommentar

21

FTP 

wird von verschiedenen Systemen noch genutzt. Ist FTP nicht zwingend erforderlich, raten wir zur Deaktivierung.

22

SSH 

für fast alle Entwickler erforderlich. Kann aber temporär deaktiviert werden, wenn gerade nicht an der Seite gearbeitet wird.

80

http://

unverschlüsselte Zugriffe auf die Webseite, z.B. per Browser. Das kann man vermeiden, indem der Zugriff per 443 erzwungen wird. Wie das funktioniert, erfährst du in diesem Artikel.

443 

https://

verschlüsselter Zugriff auf deine Webseite

3306

MySQL 

Hierüber greift deine Webseite auf ihre Datenbank zu. Bei mittwald wird der Port zwar als offen angezeigt, ist jedoch nur mit einem zusätzlichen Datenbanknutzer (der explizit berechtigt werden muss) nutzbar. Jeder Versuch die Datenbank auf andere Weise zu öffnen, läuft ins Leere. Zugriffe sind nur im internen Netz möglich

• Fehlende security header: Können über PHP gesetzt werden , zum Beispiel so:
  <?php
  header("Strict-Transport-Security: max-age=63072000; includeSubDomains; preload");
  Weitere Informationen findest du in diesem Artikel.
• Veraltete Software: Ein alter Hut. Nur wer seine Systeme regelmäßig updated, hält sie geschützt. Tipp: Nutze die Auto-Update-Funktion. Damit bist du diese Sorge los.

In manchen fällen reicht es aus, dein Projekt manuell zu überprüfen und Maßnahmen zu ergreifen. Die folgende Liste hilft dir dabei.

Checkliste
 

• Ist dein SSL Zertifikat aktuell? Benötigst du evtl. ein besonderes SSL Zertifikat?
• Werden deine Daten sicher gehostet? Achte auf Online Gütesiegel für Web Security und Rechtssicherheit
  Mach den Security Headers Check, z.B. über securityheaders oder wao.
• Schütze dich vor DDoS Angriffen durch ein Content Delivery Network
• Verwende eine Web Application Firewall (WAF)
• Halte deine Software aktuell: CMS, Shop, Plugins, Extensions, …

Der Pentest sowie alle anschließenden Maßnahmen dienen der Sicherheit deiner Projekte. Ein weiterer wichtiger Security-Baustein für deine Projekte ist das Hosting. Hier spielen viele Facetten eine Rolle - vom Monitoring über die Anomalieerkennung bis hin zur Gebäudesicherheit. All das bekommst du bei mittwald ab dem kleinsten Tarif. Zudem liegen deine Daten in einem Rechenzentrum in Deutschland, das mit der ISO 27001 zertifiziert ist.