PENETRATION TESTING & ATTACK SIMULATION

Das RedTeam der InfoGuard AG verfügt über sehr umfangreiche Erfahrungen in der Simulation von diversen Threat Actors. Diese reichen von einfachen «Script Kiddie»-Angriffen bis hin zu sehr komplexen Schwachstellen-Verkettungen für Angriffe auf der Stufe «Nation State». Aus der engen, kontinuierlichen Zusammenarbeit mit dem internen BlueTeam und durch die Durchführung von unangekündigten Krisenstabsübungen im Cyber Defense Center der InfoGuard AG ist ein einzigartiger Erfahrungsschatz für besonders komplexe und gut abgeschirmte Umgebungen entstanden. Dabei gingen die Angriffe auch schon so weit, indem der Öffentlichkeit noch unbekannte Schwachstellen gezielt ausgenutzt wurden (Entwicklung sogenannter Zero Day Exploits). Dadurch konnten State-of-the-Art Security Appliances umgangen und der Durchbruch in Hochsicherheitsumgebungen erreicht werden. Unsere einzelnen Team-Mitglieder verfügen über breit gefächertes und tief spezialisiertes Know-How (z. B. aus BlueTeam/RedTeam-Doppelrollen, forensischen Analysen, Reverse Engineering, Kryptographie oder Exploit-Development), wodurch eine einmalige Kombination offensiver und defensiver IT-Security entsteht.

Cyberattacken wie WannaCry und Petya zeigten wieder einmal, mit welch ausgeklügelten Methoden Cyberkriminelle heutzutage vorgehen. Erfolgreiche Angriffe verursachen enorme Schäden ‒ nicht nur im finanziellen Bereich, sondern sie gefährden auch die Reputation.

Wollen Sie wissen, wie weit ein Hacker in Ihrem Netzwerk kommt und wie erfolgreich ein gezielter Angriff wäre? Wir zeigen es Ihnen mit einer simulierten Attacke auf Ihr Unternehmen. Unsere Experten setzen gezielt unterschiedliche Methoden ein, wie beispielsweise technische Audits und Penetration Tests, Social Engineering Techniken (Spear Phishing, physisch vor Ort, Malware-Attacken) oder Recherchen in sozialen Netzwerken, im Internet, aber auch im Darknet.

Erfahren Sie mehr über unsere Cyber Attack Simulation ›

Im Rahmen des externen Penetration Tests suchen unsere Penetration Tester gezielt nach Schwachstellen, welche nicht durch automatisierte Tools erkannt oder ausgenutzt werden können. Dies beinhaltet auch eine Informationssammlung, wobei nach Informationen gesucht wird, um Systeme des Kunden zu identifizieren, welche frei über das Internet verfügbar sind. Diese verfügbaren Systeme stellen die exponierte Angriffsfläche dar, welche prinzipiell jedem anonymen Angreifer über das Internet zur Verfügung steht. Abhängig von den zuvor identifizierten Diensten, werden die weiteren spezifischen Tests angepasst und durchgeführt

Hier erfahren Sie mehr über unser Pentest-Angebot ›

Bei diesem Audit erfolgt eine technische Überprüfung der Webapplikation (inklusive Server auf welchem die Webapplikation betrieben wird) aus Sicht eines Script Kiddies oder eines Angreifers, welcher primär automatisiert agiert. Ziel des Web Application Security Audits ist dabei die Identifikation von offensichtlich kritischen Schwachstellen (so genannte «Low-Hanging Fruits») und eine Beurteilung der generellen Angriffsfläche.

Bei diesem Penetration Test erfolgt eine technische Überprüfung der Webapplikation (inklusive Server auf welchem die Webapplikation betrieben wird) aus Sicht eines versierten Angreifers – optional wird auch der Source Code analysiert. Ziel des Web Application Security Audits ist dabei die Identifikation von Schwachstellen, welche die Applikation unmittelbar bedrohen könnten oder in Zukunft (beispielsweise durch die Kombination von anderen Schwachstellen) zu einem Sicherheitsproblem führen könnten. Das Audit wird auf Basis des OWASP Web Security Testing Guides (WSTG) sowie den OWASP Top 10 Web Application Security Risks strukturiert durchgeführt und mit spezifischen Test von InfoGuard ergänzt.

Bei diesem Audit erfolgt eine technische Überprüfung der Web API (inklusive Server auf welchem die Web API betrieben wird) aus Sicht eines versierten Angreifers. Das Audit wird auf Basis des OWASP Web Security Testing Guides (WSTG) sowie der OWASP API Top 10 Security Risks strukturiert durchgeführt und mit spezifischen Tests von InfoGuard ergänzt, sodass alle Angriffsmöglichkeiten sowie das Gefahrenpotential durch fortgeschrittene Angreifer berücksichtigt werden.

Der mobile App Penetration Test der InfoGuard AG orientiert sich am OWASP Mobile Application Security Verification Standard (MASVS) und für das Backend API werden Tests aus dem OWASP Web Security Testing Guide übernommen. Dies stellt sicher, dass alle relevanten technischen Angriffsvektoren durch den Penetration Test abgedeckt werden.

Um die unterschiedlichen Sicherheitsanforderungen von mobilen Apps zu berücksichtigen, unterteilt der MASVS alle Tests in zwei Level: 

• Das Level 1 sollten alle mobilen Apps erfüllen und bestätigt einen grundlegenden Schutz gegenüber möglichen Angriffen, sowohl auf die App selbst und auf die Backend API.
• Das Level 2 ist für Apps mit erhöhten Sicherheitsanforderungen gedacht wie z.B. E-Banking Apps oder Apps der Gesundheitsindustrie. Dazu gehören beispielsweise Defense-in-Depth Massnahmen wie Zertifikats-Pinning oder die Erzwingung einer grundlegenden Gerätesicherheit.
  

Das WLAN-Audit überprüft alle sicherheitsrelevanten Parameter der WLAN-Infrastruktur. Das Ziel des Audits ist existierende Sicherheitsmassnahmen sowie die Anwendung von Industriestandards zu verifizieren und mögliche Angriffsvektoren zu erkennen. Somit wird die Gefahr eines externen Angriffs realistisch beurteil, dies sowohl aus einer anonymen Angreifer Perspektive, wie auch im authentisierten, mit dem Netzwerk verbundenen Kontext untersucht.

Bei diesem Audit erfolgt eine technische Überprüfung der E-Mail-, resp. Proxy Infrastruktur. Dabei wird verifiziert, ob technische oder Konfigurations-Schwachstellen existieren, welche einem Angreifer den initialen Zugriff auf das interne Netzwerk mit Hilfe bösartiger E-Mail-Anhänge oder Download-Links ermöglichen - oder die Kontrolle von internen IT-Systemen aus dem Internet (C2), resp. den unbemerkten Datendiebstahl erlauben.

Windows 10 (VDI) Client Security Audit

Windows Server 2016 Terminalserver Security Audit

Bei diesem Audit erfolgt eine technische Überprüfung eines physischen, resp. virtuellen Windows 10 Clients oder eines Windows Server 2016 Terminalservers. Die Überprüfung identifiziert Schwachstellen in den relevanten Angriffsflächen (physisch, Netzwerk und ähnliches) und verifiziert wichtige Härtungsmassnahmen, welche die Anwendung von Angriffstechniken massgeblich erschweren. Der von InfoGuard entwickelte Prüfkatalog orientiert sich an anerkannte Sicherheitsstandards wie dem «Center for Information Security» (CIS) Benchmarks und den Microsoft Security Baselines.

Im Rahmen unserer Social Engineering Audits überprüfen wir das Sicherheitsverhalten Ihrer Mitarbeitenden. Unsere Social Engineers versuchen durch persönlichen Kontakt Ihren Mitarbeitenden vertrauliche Informationen zu entlocken, indem sie ihr Vertrauen, ihre Gutgläubigkeit und Hilfsbereitschaft oder auch Überforderung und Unsicherheit ausnutzen. Je nach Prüfziel und Zielgruppe, setzen wir unterschiedliche Prüfmethoden und Angriffsarten des Social Engineering ein. Diese reichen vom persönlichen Kontakt mit der Zielperson per Telefon oder physisch vor Ort, über den elektronischen Weg über E-Mail, Chat oder Social-Network-Plattformen, bis hin zu postalischer Kontaktaufnahme. Aber auch die gezielte Abgabe von manipulierten USB-Speichermedien oder die systematische Datenanalyse auf dem Internet gehören dabei zum unserem Angriffsrepertoire.

Mehr über unseren Social Engineering Audit erfahren Sie in unserer Broschüre ›