Um für den Notfall gerüstet zu sein, bieten wir Ihnen folgende Dienstleistungen im Auditierungsumfeld an:

1. Extern

Modul 1.1 - externer Penetrationstest

• Information Gathering
• Portscan – Feststellen der erreichbaren Dienste
• Dienstidentifikation
• manuelle Identifikation konfigurationsabhängiger Schwachstellen
• teilautomatisierte Identifikation von bekannten Schwachstellen
• Angriffsversuche auf Managementinterfaces

Modul 1.2 – Webapplikation Penetrationstest

• Information Gathering
• Session-ID Analyse
• Testen auf sichere Parametervalidierung
  
    o  Cross Site Scripting
    o  SQL Injection
    o  XML/XPath Injection (bei WebServices)
    o  Inclusion Attacks
    o  Fuzzing
  
  
• Cookie-Diebstahl (Session Hopping, Session Fixation, etc.)
• Testen der Authentifizierungsmethoden (Managementinterfaces, etc.)
• unauthorisierte Uploadversuche
• Angriffsszenarien bei denen Angriffsmethoden kombiniert werden
• Prüfung der Webserverkonfiguration
• teilautomatisierte Identifikation von bekannten Schwachstellen in der Serversoftware

Modul 1.3 - Social Engineering

• Informationsbeschaffung und Vorbereitung
• Vortäuschen falscher Identitäten und Kompetenzen, um an geheime Daten zu gelangen oder Services zu erschleichen
• Durchführung per Telefon oder Email
• genaue Vorgehensweise wird an Kundenwünschen und organisationsspezifische Gegebenheiten angepasst

2. Intern

Modul 2.1 - interner Penetrationstest

• Blackbox Teil:
  
    o  Überprüfung des Zugangsschutzes zum Netzwerk
    o  Schwachstellenanalyse in Server-, Benutzer- und Außenstellennetzwerken
    o  Angriffe auf Netzwerkkomponenten, Server und Clients
    o  Versuch Berechtigungen im Netzwerk zu erlangen und diese auf domänenweite Administratorberechtigungen auszubauen
    o  Schwachstellenanalyse der vorhandenen Datenbanken
    o  Schwachstellenanalyse der vorhandenen Intranetserver
    o  Prüfung auf Konfigurationsschwachstellen in Netzwerkkomponenten und Servern
    o  Erhebung des Verbesserungspotenzials
  
  
• White-Box Teil:
  
    o  Topologie Audit: Überprüfung des Netzwerkaufbaues, Trennung
    o  Schwachstellenanalyse und Erhebung des Verbesserungspotenzials

Modul 2.2 – WLAN Penetrationstest

• Überprüfung der implementierten Verschlüsselung
• Prüfung von Abschottung und Filterung des WLANs
• Wardriving/Warwalking
• Identifikation unternehmensfremder Funknetzwerke

Modul 2.3 - VoIP Penetrationstest

• Überprüfung der VoIP-Basisinfrastruktur auf OS und Applikationsebene
• Überprüfung der eingesetzten Protokolle und Sicherheitsmechanismen
• Abhörversuch (in Abstimmung)
• Aufbereiten des Verbesserungspotenzials

Modul 2.4 - Social Engineering

• Informationsbeschaffung und Vorbereitung
• Prüfung der physischen Zugangssicherheit
• Physikalische Sicherheit von Servern und Netzwerkkomponenten
• Vortäuschen falscher Identitäten und Kompetenzen, um an geheime Daten oder kostenlose Services zu gelangen
• Durchführung vor Ort
• genaue Vorgehensweise wird an Kundenwünschen und organisationsspezifische Gegebenheiten angepasst

Modul 2.5 - Organisations-Audit

Überprüfung der IT Sicherheitspolitik und Statusdokumentation unter folgenden Aspekten:

• Verantwortlichkeiten
• IT Organisation
• Sicherheits-Management Team
• Risikoanalyse
• Datenklassifizierung
• Datenintegrität
• Reporting

Modul 2.6 - Security Prozessaudit

• Sicherheitsvorfälle simulieren und die dadurch
  ausgelösten Maßnahmen bewerten
• Angriff ausgehend von einem internen System

Modul 2.7 - Verfügbarkeits- und Infrastruktur-Audit

• Bauliche Maßnahmen, Feuerschutz, Zugangsschutz
• Netzwerktopologie
• SAN Infrastruktur
• Server Infrastruktur
• Client Infrastruktur
• Basisdienste (DHCP, DNS, AD, …)
• Wartungsverträge
• SLA Überprüfungen
• Datensicherung
• Schatten-EDV

Modul 3 - Forensik

• Unterstützung bei Sicherheitsnotfällen
• Gegenmaßnahmen einleiten
• Beweissicherung für betroffene Systeme durchführen

Modul 4 - Managementpräsentation

• Aufbereitung der Ergebnisse für das Management
• Präsentation und Diskussion

Modul 5 - Code Audit

• Kick-Off Workshop
• Überprüfung von Eigenentwicklungen (Webapplikationen, Client- und Serversoftware)
• teilautomatisierte Prüfung des Sourcecodes auf Schwachstellen
• Durchspielen von Angriffsszenarien am Testsystem

Modul 6 - Security Coaching

• Erhebung der Ist-Situation im Workshop
• Definition und Gewichtung von Zielen
• Entwicklung von Sicherheitsmaßnahmen nach Best Practices
• Empfehlungen zu technischen und strategischen Maßnahmen
• Planung langfristiger Strategien
• Projektbegleitung