Web Penetrationtest (Large)

Bei unserem Web Penetrationtest (Large) prüfen wir Ihre Webanwendung auf Herz und Nieren! Neben den klassischen OWASP Top 10 Schwachstellen bedeutet das vor allem interne Tests (z.B. auf Privilege Escalation bei verschiedenen Rechtekonzepten), Tests nachgelagerter Systeme (z.B. Datenbankserver) sowie Tests auf Business Logic Schwachstellen. Zusätzlich sind im Web Penetrationtest (Large) natürlich auch alle Tests des Web Penetrationtest (Small) und des Web Penetrationtest (Medium) enthalten, sodass Ihre Webseite auch auf technische Fehlkonfigurationen und fehleranfällige Software getestet wird.

Welchen Umfang hat der “Web Penetrationtest (Large)”?

• Der Test besteht aus zehn Tagen reinem Testen
• Anschließend dauert es ca. zwei Woche den Report zu verfassen und zu überprüfen

Folgendes ist im Paket “Web Penetrationtest (Large)” enthalten:

Alle Elemente des Web Penetrationtest (Small) sind enthalten:

• Enumeration der verwendeten Software (z.B. CMS, JS Bibliotheken, Server) und deren Versionen
• Prüfung ob für die verwendeten Software Versionen Schwachstellen bekannt sind
• Prüfung ob Exploits existieren
• Prüfung auf technische Fehlkonfigurationen Ihrer Webanwendung
• Mögliche Ansatzpunkte für weitergehende Angriffe werden theoretisch aufgeführt, aber nicht praktisch ausgenutzt

Alle Elemente des Web Penetrationtest (Medium) sind enthalten:

• Durch die Webanwendung bereitgestellte Funktionen (z.B. Registrierung, Login, Suchfunktion etc.) werden auf Schwachstellen überprüft
• Falls die Webanwendung eine Registrierung ermöglicht, wird auch das Innere der Anwendung auf Schwachstellen überprüft
• Test auf OWASP Top 10 Schwachstellen

Zusätzlich wird folgendes überprüft:

• Falls vorhanden werden Administrationsoberflächen auf Schwachstellen getestet
• Falls vorhanden werden nachgelagerte Systeme (z.B. Datenbank Server) auf Schwachstellen getestet
• Beim Vorhandensein mehrerer User Gruppen, wird geprüft, ob ein User mit niedrigen Rechten diese Rechte ausweiten kann (Privilege Escalation)
• Neben technischen Schwachstellen prüfen wir auch ob Schwachstellen in Ihrer Business Logic vorhanden sind. Entsprechende Fehler sind mit Tools nur schwer zu erfassen, sondern erfordern ein hohes Maß an Kreativität und “Denken wie ein Angreifer”

Im Anschluss an den Test erhalten Sie einen detaillierten Report mit folgendem Inhalt:

• Eine Zusammenfassung des Sicherheitsstatus der Webanwendung
• Für jede gefundene Schwachstelle eine detaillierte Beschreibung mit folgendem Inhalt:
  • Wo ist die Schwachstelle aufgetreten
  • Wie sieht die Schwachstelle aus (Kurzform)
  • Wie sieht die Schwachstelle aus und welche Risiken ergeben sich aus ihr (Ausführlich)
  • Welche Maßnahmen müssen unternommen werden um die Schwachstelle zu beheben
  • Wie haben wir die Schwachstelle gefunden (Proof of Concept)
• Zu ausgewählten Schwachstellen werden Angriffsszenarien erstellt, die die Ausnutzung der Schwachstelle in einem größeren Kontext erklären
• Einen Anhang mit den von uns verwendeten Tools und Services

Einen entsprechenden Beispielbericht können Sie HIER herunterladen.

Zusätzlich erhalten Sie von uns auch eine Excel Datei in der alle Schwachstellen aufgeführt und farbig markiert sind. In diese Excel Datei können Sie weitere Angaben hinzufügen (z.B. wer dafür verantwortlich ist eine bestimmte Schwachstelle zu beheben) sowie behobene Schwachstellen abhaken. Auf diese Weise wissen Sie stets, wo Sie bei der Behebung Ihrer Sicherheitslücken aktuell stehen.

Zusätzlich erhalten Sie von uns nach dem Penetrationtest ein Zertifikat, mit dem wir Ihnen die Durchführung des Penetrationtests bestätigen. Mit diesem Zertifikat können Sie gegenüber Ihren Kunden und Geschäftspartnern belegen, dass Sie sich um die Sicherheit Ihrer Webseite kümmern.

Dieser Pentest eignet sich für Sie, wenn:

• Sie Ihre Webseite eingehend auf aktuelle Schwachstellen testen möchten
• Sie ein Zertifikat für den durchgeführten Penetrationtest erhalten möchten
• Sie sehen möchten, wie Schwachstellen in einem größeren Kontext genutzt werden (Angriffsszenarien)
• Sie auch Admin Dashboards und nachgelagerte Systeme getestet haben möchten

Dieser Pentest eignet sich für Sie nicht, wenn:

• Sie noch keinerlei Maßnahmen im Bereich IT-Sicherheit umgesetzt haben

Falls Sie noch keine Maßnahmen im Berech IT-Sicherheit umgesetzt haben, können Sie sich auch mit unserem Web Pentest (Small) einen ersten Eindruck von möglichen Schwachstellen verschaffen.

Falls Sie eine komplexe Anwendung testen möchten die nicht durch unser Komplettpaket erfasst wird, erstellen wir Ihnen gerne eine individuelle Aufwandsschätzung für einen Web Penetrationtest.